安装自定义SELinux策略报filecon解析失败如何排查解决

报错中数字303的含义 #

首先纠正常见误区：/var/lib/selinux/targeted/tmp/路径下的.cil文件不是二进制文件，是策略加载过程中生成的纯文本CIL（Common Intermediate Language，通用中间语言）临时文件，报错信息里的303就是该临时文件中触发错误的行号。
你可以直接通过命令查看出错行的具体内容：

# 打印出错行原文
sed -n '303p' /var/lib/selinux/targeted/tmp/modules/400/mypolicy/cil
# 打印出错行前后10行上下文，方便看关联规则
sed -n '293,313p' /var/lib/selinux/targeted/tmp/modules/400/mypolicy/cil

定位.te/.fc源文件错误点的方法 #

CIL是源码编译生成的中间格式，规则内容和你编写的.te/.fc源文件是一一对应的，不需要做特殊映射，按以下步骤即可定位到源码错误：

1. 先拿到出错的filecon规则内容：CIL中filecon规则的标准格式为(filecon "文件路径" 文件类型标识 安全上下文)，从出错行里提取出规则里的文件路径、引用的安全上下文类型。
2. 优先在你编写的.fc文件中搜索提取到的文件路径，90%以上的filecon解析错误都来自.fc文件的规则问题：
   • 常见错误1：规则中引用的type类型未声明，要么是te文件里没定义这个type，要么是拼写笔误（比如把myapp_exec_t写成myapp_exc_t），要么是引用其他模块的type但没在te文件的require块里声明
   • 常见错误2：fc文件的路径正则写法错误，比如括号不配对、转义符多余、通配符使用不符合SELinux路径正则规范
   • 常见错误3：fc规则末尾的安全上下文格式错误，比如多打了空格、漏写了字段、角色/用户/敏感度级别写错
3. 如果在fc文件里没找到对应路径，再去.te文件里搜索规则里的类型名，查找是否存在filecon、fs_use_xattr之类手动指定文件上下文的语句错误。
4. 可以提前做语法预检减少排查成本：
   • 检查fc文件语法：sefcontext_compile -o /dev/null -p 你的策略文件.fc，语法错误会直接输出对应行号
   • 编译策略模块时加-C参数，会在当前编译目录生成和源文件对应的.cil中间文件，和临时目录的出错cil做内容比对，就能直接定位到源码的对应段落。

这类错误的通用排查流程 #

• 第一步先查看出错cil行的上下文，确认出错规则的完整内容，不要只看行号
• 核对规则里所有引用的type、attribute、role：确认所有引用的对象要么在当前模块的te文件中声明，要么在require块中正确声明了对其他模块的依赖
• 如果规则里用了正则路径，单独把路径拿出来用matchpathcon命令做匹配测试，排除正则语法问题
• 修改源码后重新安装前，先清理/var/lib/selinux/targeted/tmp/modules/400/mypolicy/下的旧临时文件，避免缓存干扰报错信息

内容的提问来源于stack exchange，提问作者JayJay-K