SELinux强制模式下Android应用读取ro.boot.serialno权限问题求助

一、添加SELinux规则实现属性读取 #

你遇到的问题核心是serialno_prop类型的系统属性被SELinux的neverallow规则限制，仅允许少数可信域访问，直接在应用.te文件加allow规则会触发限制拦截。正确操作是修改系统级SELinux策略，把你的服务域my_service加入允许访问列表：

1. 修改domain.te中的允许规则
   找到domain.te第554行附近的规则，通常是类似以下两种形式：

   allow trusted_domains serialno_prop:file read;
   

   或者直接枚举允许的域：

   allow { init servicemanager ... } serialno_prop:file read;
   

   将my_service添加到这个允许集合中，示例：

   allow { init servicemanager my_service } serialno_prop:file read;
   

2. 修复get_prop宏的使用
   如果之前用get_prop(my_service, serialno_prop);无效，是因为neverallow规则拦截了该宏生成的权限。先调整neverallow范围后，再使用这个宏就能正常生效，它会自动生成读取属性所需的完整规则。

二、扩展neverallow策略的方法 #

neverallow是SELinux的强制安全规则，用于禁止非可信域访问敏感资源。要允许你的域访问，需修改对应规则将你的域排除在外：

1. 定位目标neverallow规则
   在domain.te或关联策略文件中找到类似规则：

   neverallow domain serialno_prop:file read;
   

   或者更精准的限制：

   neverallow { domain -trusted_domains } serialno_prop:file read;
   

2. 修改规则排除你的域
   将my_service加入排除列表，示例：

   neverallow { domain -trusted_domains -my_service } serialno_prop:file read;
   

   这样既保留了对其他非可信域的限制，又放开了你的服务域的访问权限。

注意：修改系统级SELinux策略需要完整编译ROM，调整neverallow规则可能降低系统安全性，仅当你的应用属于可信系统组件且明确知晓风险时操作。

内容的提问来源于stack exchange，提问作者CRM