进程和文件/目录的标签查看
在支持SELinux的系统中，所有的进程都有一个SELinux的标签，查看进程的标签可以用下面的命令：
adb shell ps -Z
下面是Android 8.1.0模拟器上执行这个命令的结果（去掉了kernel、init等开发中很少有需要修改的进程）:
LABEL USER PID PPID VSZ RSS WCHAN ADDR S NAME
u:r:logd:s0 logd 1367 1 16840 6808 sigsuspend ed3c3af0 S logd
u:r:servicemanager:s0 system 1368 1 7268 3436 binder_thread_read f4944af0 S servicemanager
u:r:hwservicemanager:s0 system 1369 1 11840 5956 ep_poll f260baf0 S hwservicemanager
u:r:vndservicemanager:s0 system 1370 1 7036 2916 binder_thread_read f70c4af0 S vndservicemanager
u:r:hal_sensors_default:s0 system 1432 1 11012 4444 goldfish_pipe_wait_event f1a1daf0 S android.hardware.sensors@1.0-service
u:r:hal_wifi_default:s0 wifi 1433 1 13408 7140 binder_thread_read eb6b4af0 S android.hardware.wifi@1.0-service
u:r:surfaceflinger:s0 system 1439 1 95676 14016 ep_poll f2bffaf0 S surfaceflinger
u:r:zygote:s0 root 1521 1 938536 111344 poll_schedule_timeout ece25af0 S zygote
u:r:audioserver:s0 audioserver 1522 1 111216 23716 binder_thread_read ecc8daf0 S audioserver
u:r:cameraserver:s0 cameraserver 1523 1 34264 13024 binder_thread_read f37d6af0 S cameraserver
u:r:installd:s0 root 1525 1 15216 5384 binder_thread_read ebcf0af0 S installd
u:r:mediaserver:s0 media 1530 1 59748 16252 binder_thread_read f210daf0 S mediaserver
u:r:system_server:s0 system 1648 1521 1194488 188812 ep_poll ece25af0 S system_server
u:r:untrusted_app:s0:c512,c768 u0_a60 1771 1521 1129228 162444 ep_poll ece25af0 S com.google.android.inputmethod.latin
u:r:platform_app:s0:c512,c768 u0_a29 1786 1521 1160968 151208 ep_poll ece25af0 S com.android.systemui
u:r:radio:s0 radio 1897 1521 1054988 104428 ep_poll ece25af0 S com.android.phone
u:r:priv_app:s0:c512,c768 u0_a13 2222 1521 1176236 157432 ep_poll ece25af0 S com.google.android.gms.persistent
u:r:priv_app:s0:c512,c768 u0_a13 2594 1521 1279688 165100 ep_poll ece25af0 S com.google.android.gms
u:r:su:s0 root 5396 1 67840 2584 0 edb8caf0 R adbd
u:r:untrusted_app:s0:c512,c768 u0_a80 11407 1521 1027772 64308 ep_poll ece25af0 S personal.jayhou.mydemos
u:r:untrusted_app:s0:c512,c768 u0_a80 11433 1521 1015452 49760 ep_poll ece25af0 S personal.jayhou.mydemos:remote
u:r:untrusted_app:s0:c512,c768 u0_a89 27497 1521 1044488 70976 ep_poll ece25af0 S com.chehejia.car.binderobjectdemo
u:r:untrusted_app:s0:c512,c768 u0_a89 27527 1521 1015420 49684 ep_poll ece25af0 S com.chehejia.car.binderobjectdemo:remote
u:r:untrusted_app:s0:c512,c768 u0_a69 31743 1521 1044024 88188 ep_poll ece25af0 S com.google.android.apps.messaging
u:r:untrusted_app:s0:c512,c768 u0_a69 31770 1521 1085220 92980 ep_poll ece25af0 S com.google.android.apps.messaging:rcs
u:r:priv_app:s0:c512,c768 u0_a13 32075 1521 1077256 101724 ep_poll ece25af0 S com.google.android.gms.unstable
u:r:priv_app:s0:c512,c768 u0_a20 32138 1521 1015476 51544 ep_poll ece25af0 S com.google.android.partnersetup
u:r:untrusted_app:s0:c512,c768 u0_a70 32195 1521 1057228 76832 ep_poll ece25af0 S com.google.android.apps.photos
u:r:untrusted_app:s0:c512,c768 u0_a47 32377 1521 1041400 72796 ep_poll ece25af0 S com.google.android.calendar
u:r:priv_app:s0:c512,c768 u0_a3 32394 1521 1014252 57424 ep_poll ece25af0 S com.android.providers.calendar
u:r:untrusted_app:s0:c512,c768 u0_a68 32425 1521 1030692 67892 ep_poll ece25af0 S com.google.android.deskclock
u:r:mediaprovider:s0:c512,c768 u0_a9 32451 1521 1016188 59392 ep_poll ece25af0 S android.process.media
u:r:priv_app:s0:c512,c768 u0_a31 32490 1521 1019140 57968 ep_poll ece25af0 S com.google.android.apps.wallpaper
可以看到，主要的进程有这么几类
native进程如 logd 其SELinux标签为 u:r:logd:s0，servicemanager 其SELinux标签为 u:r:servicemanager:s0 等
hal服务进程 如android.hardware.sensors@1.0-service 进程的SELinux标签为 u:r:hal_sensors_default:s0，android.hardware.wifi@1.0-service 进程的SELinux标签为 u:r:hal_wifi_default:s0 等。
native 服务 如surfaceflinger 其SELinux标签为u:r:surfaceflinger:s0 以及zygote、audioserver、cameraserver、mediaserver等
java服务进程 system_server 其SELinux标签为 u:r:system_server:s0
有platform签名的app 如com.android.systemui 的SELinux标签为 u:r:platform_app:s0:c512,c768
priv-app 如 com.google.android.gms.persistent 的SELinux标签是 u:r:priv_app:s0:c512,c768
普通三方app 我自己写的demo app personal.jayhou.mydemos 的SELinux标签为 u:r:untrusted_app:s0:c512,c768
然后去/data/data目录下看看文件/目录的SELinux标签:
adb shell进入设备，在/data/data/目录下执行 ls -Z
u:object_r:system_app_data_file:s0 android
u:object_r:app_data_file:s0:c512,c768 personal.jayhou.mydemos
基本上就是这么两类，一些特殊的目录有特殊的标签。（其他目录的标签很多，看这个目录下的标签主要是app目录带有c512,c768不同于其他目录的标签段）
标签字段及含义如下：
[user]:[role]:[type]:[sec-level]
user：表示selinux中定义的用户名，android中只有一个用户定义为u
role：表示selinux中定义的角色名，android中进程都定义为r，文件都定义为object_r
domain：文件/进程所属的域，file_contexts定义了文件/目录所属的域，进程所属的域Android中分为了几个文件来定义
seapp_contexts定义了大部分android app 根据各种条件以及签名来确定进程所属的域类型
sec-level：安全等级
注意到三方app目录、进程都有c512,c768的额外标签字段，这个是SELinux的MCS（多类别强制执行模型）参考这个文章的第二部分。
SEAndroid中标签的定义
这些标签都是由SELinux安全上下文文件定义，在如下文件中，定义了相关文件、设备、服务（名）等非进程类的对象标签
file_contexts、property_contexts、service_contexts、hwservice_contexts等
java世界进程的SELinux标签由seapp_contexts文件定义，zygote根据启动java进程的相关信息，结合seapp_contexts中的条件来给java进程打SELinux TAG
frameworks/base/core/jni/com_android_internal_os_Zygote.cpp
if (selinux_android_setcontext(uid, is_system_server, se_info_ptr, nice_name_ptr) == -1) {
fail_fn(CREATE_ERROR("selinux_android_setcontext(%d, %d, \"%s\", \"%s\") failed",
uid, is_system_server, se_info_ptr, nice_name_ptr));
}
android/system/sepolicy/private/seapp_contexts
这个文件定义了android默认的app安全上下文的标签设置策略：
isSystemServer=true domain=system_server
user=system seinfo=platform domain=system_app type=system_app_data_file
user=bluetooth seinfo=platform domain=bluetooth type=bluetooth_data_file
user=nfc seinfo=platform domain=nfc type=nfc_data_file
user=radio seinfo=platform domain=radio type=radio_data_file
user=shared_relro domain=shared_relro
user=shell seinfo=platform domain=shell type=shell_data_file
user=_isolated domain=isolated_app levelFrom=user
user=_app seinfo=media domain=mediaprovider name=android.process.media type=app_data_file levelFrom=user
user=_app seinfo=platform domain=platform_app type=app_data_file levelFrom=user
user=_app isV2App=true isEphemeralApp=true domain=ephemeral_app type=app_data_file levelFrom=user
user=_app isPrivApp=true domain=priv_app type=app_data_file levelFrom=user
user=_app minTargetSdkVersion=26 domain=untrusted_app type=app_data_file levelFrom=user
user=_app domain=untrusted_app_25 type=app_data_file levelFrom=user
这些配置都会在Zygote fork出app进程时，调用selinux_android_setcontext的过程中去匹配
如随便写个minTargetSdkVersion>=26的hello world apk安装进去启动，显然其user=_app seinfo!=platform(根据签名判断)，根据编译app TargetSdkVersion是否>=26 （没有 minTargetSdkVersion=26 这个配置则表示minTargetSdkVersion=0 ）最后会匹配到这一条：
user=_app minTargetSdkVersion=26 domain=untrusted_app type=app_data_file levelFrom=user
那么该进程就被设置安全上下文标签为u:r:untrusted_app:s0:c512,c768（c512,c768这个字段是根据levelFrom=user打的）
具体每个字段意思可以仔细阅读seapp_contexts前面的注释
其中有的配置项包含seinfo=platform这样的，这个表示要匹配到这一条的进程，必须拥有platform签名，具体platform匹配什么签名在如下文件中定义
android/system/sepolicy/private/mac_permissions.xml
还可以自定义其他的seinfo对应不同的签名来配置seapp_contexts。
其他上面提到的native进程如logd、servicemanager，native服务hal service，Android其他native 服务进程如surfaceflinger mediaserver等进程的标签，主要由以下两个方式设置：
init.rc中可以由类似 seclabel u:r:shell:s0 的配置来定义init启动的进程的SELinux 标签
另一种拿surfaceflinger进程为例，其对应的策略文件：
android/system/sepolicy/private/surfaceflinger.te
有如下定义：
init_daemon_domain(surfaceflinger)
根据其宏定义展开
android/system/sepolicy/public/te_macros
#####################################
# init_daemon_domain(domain)
# Set up a transition from init to the daemon domain
# upon executing its binary.
define(`init_daemon_domain', `
domain_auto_trans(init, $1_exec, $1)
')
#####################################
# domain_auto_trans(olddomain, type, newdomain)
# Automatically transition from olddomain to newdomain
# upon executing a file labeled with type.
#
define(`domain_auto_trans', `
# Allow the necessary permissions.
domain_trans($1,$2,$3)
# Make the transition occur by default.
type_transition $1 $2:process $3;
')
#####################################
# domain_trans(olddomain, type, newdomain)
# Allow a transition from olddomain to newdomain
# upon executing a file labeled with type.
# This only allows the transition; it does not
# cause it to occur automatically - use domain_auto_trans
# if that is what you want.
#
define(`domain_trans', `
# Old domain may exec the file and transition to the new domain.
allow $1 $2:file { getattr open read execute map };
allow $1 $3:process transition;
# New domain is entered by executing the file.
allow $3 $2:file { entrypoint open read execute getattr map };
# New domain can send SIGCHLD to its caller.
ifelse($1, `init', `', `allow $3 $1:process sigchld;')
# Enable AT_SECURE, i.e. libc secure mode.
dontaudit $1 $3:process noatsecure;
# XXX dontaudit candidate but requires further study.
allow $1 $3:process { siginh rlimitinh };
')
所以编译后的init_daemon_domain(surfaceflinger)
第一次展开为:
domain_auto_trans(init, surfaceflinger_exec, surfaceflinger)
第二次展开为：
domain_trans(init,surfaceflinger_exec,surfaceflinger)
type_transition init surfaceflinger_exec:process surfaceflinger;
最终展开为：
# Old domain may exec the file and transition to the new domain.
allow init surfaceflinger_exec:file { getattr open read execute map };
allow init surfaceflinger:process transition;
# New domain is entered by executing the file.
allow surfaceflinger surfaceflinger_exec:file { entrypoint open read execute getattr map };
# New domain can send SIGCHLD to its caller.
ifelse(init, `init', `', `allow surfaceflinger init:process sigchld;')
# Enable AT_SECURE, i.e. libc secure mode.
dontaudit init surfaceflinger:process noatsecure;
# XXX dontaudit candidate but requires further study.
allow init surfaceflinger:process { siginh rlimitinh };
type_transition init surfaceflinger_exec:process surfaceflinger;
init_daemon_domain(surfaceflinger) 展开后，前面一大堆是为后面一句做的权限准备，最后一句type_transition init surfaceflinger_exec:process surfaceflinger; 是说 init 域的进程在执行type为surfaceflinger_exec的可执行文件时，将其（process）转换到surfaceflinger域，从标签来说就是，init进程启动surfaceflinger时，不允许surfaceflinger继承其标签 u:r:init:s0 而是要将surfaceflinger的标签变成 u:r:surfaceflinger:s0。
所以类似surfaceflinger这种由init启动的native进程/服务，其标签要么是init.rc中由seclable 命令指定 ，要么是其对应的.te文件中由规则init_daemon_domain()宏声明，由init进程域转到了init_daemon_domain()声明的域中。
