只读RootFS持久化文件处理：如何保留文件正确权限及潜在问题

首先搞定你遇到的文件所有权问题，再聊聊这个方案里藏着的几个坑：

修复文件所有权的两种方法 #

你的脚本用mv迁移文件后，所有权变成主机用户marius，是因为ROOTFS_POSTPROCESS阶段的命令在主机用户环境下执行，跨文件系统的mv会丢失原文件的所有者和权限信息。可以用下面两种方法修正：

方法1：用cp -a保留完整文件属性 #

替换mv为cp -a（它会保留文件的所有者、组、权限、时间戳等所有属性），再删除原文件创建软链接：

move_to_persistent () {
    install -d ${TO}
    for fn in ${WANT_PERSISTENT}; do
        # 复制并保留所有文件属性
        cp -a ${FROM}/$fn ${TO}/$fn
        # 删除原文件
        rm ${FROM}/$fn
        # 创建相对软链接
        ln -r -s ${TO}/$fn ${FROM}/$fn
    done
}

方法2：显式强制设置所有者和权限 #

如果坚持用mv，可以在迁移后手动修正这些系统文件的所有者和权限（它们必须属于root:root，且权限有严格要求）：

move_to_persistent () {
    install -d ${TO}
    for fn in ${WANT_PERSISTENT}; do
        mv ${FROM}/$fn ${TO}/$fn
        # 强制设置所有者为root用户组
        chown root:root ${TO}/$fn
        # 根据文件类型设置对应权限
        case $fn in
            passwd|group)
                chmod 0644 ${TO}/$fn
                ;;
            shadow|gshadow)
                chmod 0600 ${TO}/$fn
                ;;
        esac
        ln -r -s ${TO}/$fn ${FROM}/$fn
    done
}

方案的潜在问题及应对建议 #

除了所有权问题，你的只读RootFS方案还有几个需要提前规避的风险：

1. 持久化存储的挂载时机 #

如果/data分区在系统启动后期才挂载（比如在systemd多用户.target之后），启动初期的系统服务（比如login、useradd）会找不到软链接指向的文件，直接导致初始化失败。

• 应对：确保/data在/etc被访问前挂载。如果用systemd，创建/etc/systemd/system/data.mount单元，设置Before=sysinit.target，保证挂载顺序优先于系统初始化服务。

2. 首次启动的文件同步 #

第一次启动时/data/etc是空的，软链接指向的文件不存在，会直接导致系统崩溃。

• 应对：在构建时把原/etc文件备份到/etc/.original，然后添加启动脚本（比如/etc/init.d/persistent_setup），检查/data/etc是否为空，如果是空的就从备份目录复制初始文件到/data/etc。

3. Yocto构建的依赖顺序问题 #

如果有其他配方在ROOTFS_POSTPROCESS_COMMAND之后修改passwd/shadow等文件，这些修改会直接作用于软链接指向的/data/etc文件，但构建环境中的/data是临时目录，可能导致后续构建步骤出错。

• 应对：确保move_to_persistent在所有修改这些系统文件的配方之后执行。可以调整ROOTFS_POSTPROCESS_COMMAND的顺序，或者在依赖配方中添加DEPENDS += "your-recipe"来保证执行顺序。

4. 安全上下文问题（SELinux/AppArmor） #

如果系统启用了SELinux或AppArmor，迁移后的文件安全上下文可能不正确，导致访问被拒绝。

• 应对：在构建时用chcon设置正确的安全上下文，或者在启动脚本中添加restorecon -R /data/etc命令修复上下文。

5. 用户管理工具的兼容性 #

虽然useradd等工具默认读取/etc/passwd（软链接指向/data/etc/passwd），但某些特殊工具可能硬编码文件路径，导致无法正确修改用户信息。

• 应对：测试所有用户管理工具的功能，确保它们能正常通过软链接修改文件。如果有问题，可以修改工具的配置，或者用pam_mkhomedir等模块辅助处理。

6. 数据备份风险 #

/data分区损坏会直接丢失所有用户信息，没有备份的话后果严重。

• 应对：定期备份/data/etc到只读RootFS的某个备份目录（比如/etc/persistent_backup），或者添加自动备份脚本，在系统启动时同步备份。

内容的提问来源于stack exchange，提问作者grmmgrmm