Flutter调用Rust库在Android创建Raw Socket遇权限拒绝问题求助

问题背景 #

我正在将公司基于Rust开发的网络测试库（包含ping、traceroute等功能）适配到Android平台，应用基于Flutter框架，通过flutter_rust_bridge实现Rust与Flutter的绑定。测试覆盖Android 7到12的模拟器镜像，目前遇到Raw Socket创建时触发Permission Denied错误，但使用标准UDP Socket执行DNS查询完全正常。已尝试过adb root && adb remount获取模拟器root权限、通过插件申请应用root权限、在AndroidManifest.xml中添加INTERNET/ACCESS_SUPERUSER/NET_RAW权限，均未解决问题。Linux下的setcap权限赋予机制不适用于Android，需可行解决方案。

可行解决方案 #

1. 修正权限声明与动态申请 #

• 确保Manifest权限配置正确：
  将权限声明放在<manifest>标签下、<application>标签外，添加必要权限：

  <uses-permission android:name="android.permission.INTERNET" />
  <uses-permission android:name="android.permission.NET_RAW" />
  <!-- Android 10+ 需额外添加网络状态权限 -->
  <uses-permission android:name="android.permission.ACCESS_NETWORK_STATE" />
  

  注意：NET_RAW属于危险权限，Android 6.0+（API 23）及以上版本，必须在代码中动态申请，不能仅依赖静态声明。

• 添加动态权限申请逻辑：
  在Android原生端（MainActivity）实现权限申请，示例Kotlin代码：

  private val REQUEST_NET_RAW = 1001
  
  override fun onCreate(savedInstanceState: Bundle?) {
      super.onCreate(savedInstanceState)
      if (ContextCompat.checkSelfPermission(this, Manifest.permission.NET_RAW)
          != PackageManager.PERMISSION_GRANTED
      ) {
          ActivityCompat.requestPermissions(
              this,
              arrayOf(Manifest.permission.NET_RAW),
              REQUEST_NET_RAW
          )
      }
  }
  
  override fun onRequestPermissionsResult(
      requestCode: Int,
      permissions: Array<String>,
      grantResults: IntArray
  ) {
      super.onRequestPermissionsResult(requestCode, permissions, grantResults)
      if (requestCode == REQUEST_NET_RAW) {
          if (grantResults.isNotEmpty() && grantResults[0] == PackageManager.PERMISSION_GRANTED) {
              // 权限通过，初始化Rust网络库
          } else {
              // 权限被拒，提示用户开启权限
          }
      }
  }
  

2. 规避Raw Socket限制：调用系统工具 #

Android 7.0+对非root应用的Raw Socket操作有严格限制，比如禁止直接发送ICMP包。可以改用系统自带的ping/traceroute工具，通过Shell执行后解析结果，替代Rust直接创建Raw Socket的逻辑。Flutter端示例代码：

Future<String> runPing(String targetHost) async {
  try {
    // 执行ping命令，发送4个包
    final result = await Process.run('ping', ['-c', '4', targetHost]);
    return result.stdout.toString();
  } catch (e) {
    return "Ping执行失败: $e";
  }
}

注：部分设备执行traceroute可能需要root权限，可尝试调整参数（如traceroute -I使用ICMP，-U使用UDP）。

3. 适配Rust代码调用NDK Socket API #

修改Rust代码，通过libc crate调用Android NDK的Socket API，确保符合系统权限检查逻辑。示例Rust代码：

use libc::{socket, AF_INET, SOCK_RAW, IPPROTO_ICMP};

fn create_icmp_raw_socket() -> Result<i32, String> {
    let sock_fd = unsafe { socket(AF_INET, SOCK_RAW, IPPROTO_ICMP) };
    if sock_fd == -1 {
        return Err("Raw Socket创建失败: 权限不足".to_string());
    }
    Ok(sock_fd)
}

编译时需指定正确的Android目标架构（如armv7-linux-androideabi、aarch64-linux-android），确保flutter_rust_bridge正确打包适配。

4. 模拟器测试环境的特殊处理 #

若仅在模拟器中测试，可通过以下方式获取权限：

• 给Rust生成的SO文件添加SUID位（仅适用于root后的模拟器）：

  # 替换为你的应用包名和SO文件名
  adb shell su -c "chmod u+s /data/data/com.your.app.package/lib/libyour_rust_lib.so"
  

• 或者直接以root身份运行应用：

  adb shell su -c "am start -n com.your.app.package/.MainActivity --user 0"
  

注：该方法仅适用于测试，正式发布应用无法使用。

内容的提问来源于stack exchange，提问作者Fabrex