安装Brother DCP-9020CDW驱动前禁用安全策略的风险及合理性问询

其实你的谨慎完全不是多余的——修改系统安全策略本来就属于需要警惕的操作，尤其是第三方驱动提出的这类要求，多留个心眼绝对没错。

为什么Brother会要求这么做？ #

Brother的打印机驱动是自由软件，但扫描仪驱动是闭源的。在Linux系统中，默认的安全机制（比如SELinux或AppArmor）会严格限制程序对硬件、系统资源的访问权限。闭源的扫描仪驱动可能需要访问一些受保护的硬件接口或系统文件，默认策略会阻止这些操作，导致驱动无法正常安装或运行。所以官方文档会让你临时放宽策略，只记录违规行为而不强制执行，这样就能顺利完成驱动部署。

你的担忧非常合理 #

• 哪怕只是“仅记录不强制执行”，也会让系统暂时失去一部分安全防护，若后续忘记恢复策略，长期运行会增加被攻击的风险。
• 闭源驱动本身就存在透明度问题：你无法查看代码，无法确认它是否存在恶意行为、漏洞或者过度获取系统权限的情况，而安全策略正是用来限制这类风险的第一道防线。
• 从官方仓库外安装软件本身就需要额外谨慎，更不用说还要配合修改安全策略了。

更安全的处理建议 #

• 确认操作的临时性：仔细看官方文档，这个安全策略修改是临时生效还是永久的。如果是临时的，安装完成后一定要立刻恢复原有的安全策略，不要让系统长期处于宽松状态。
• 尝试开源替代方案：可以查一下SANE项目的设备支持列表，看看有没有针对这款扫描仪的开源驱动。虽然开源驱动可能在功能完整性上不如官方闭源版本，但胜在安全透明，不需要修改安全策略。
• 针对性调整策略而非完全禁用：如果必须用官方闭源驱动，安装后可以查看系统日志里的访问违规记录，明确驱动需要哪些权限，然后给驱动添加对应的安全策略规则（比如AppArmor的profile或SELinux的规则），这样既能让驱动正常运行，又能保留系统的安全防护。
• 验证驱动来源：确保你下载的驱动是直接来自Brother官方网站，不要使用第三方镜像或未知来源的安装包，避免驱动被篡改植入恶意代码。

内容的提问来源于stack exchange，提问作者Ratler