问题描述
在 SELinux 强制执行模式下，Android 系统中的 /system 文件夹变得不可见且无法访问。需要通过 sepolicy-inject 工具来使其目录下的文件变得可以读取，并了解如何仅对 /system 目录下的某一个单独文件设置读写权限。
解决方案
使用 sepolicy-inject 使 /system 下所有文件可读
方案1：全局设置
可以通过执行以下命令来更改 SELinux 策略，使其允许探索者访问系统目录。
# 安装 sepolicy-inject 工具（假设使用 xmikos 的 setools-android）
git clone https://github.com/xmikos/setools-android.git
cd setools-android
./scripts/pulpin.sh
# 设置 SELinux 策略以开放 /system 目录的文件读取权限
sepolicy-inject deny --set allow_file_open_read "/system/"
方案2：修改策略文件（推荐）
更复杂的方法是直接编辑 SELinux 策略文件，以允许特定的操作。
- 创建或更新
/system/etc/selinux/plat_sepolicy.conf或/vendor/etc/selinux/plat_sepolicy.cil
# 选择合适的位置进行设置，以支持你的具体需求。
# 示例：让所有用户都可以读取 /system 目录下的文件
cat <<EOF > /system/etc/selinux/plat_sepolicy.conf
allow user domain file { open_read };
EOF
# 重启设备使更改生效
reboot
单个文件的写入权限
若需要对 /system 目录下的某个特定文件进行读/写操作，可以按以下步骤尝试：
- 分析现有策略以了解当前行为。
- 修改 SELinux 策略。
如何定位并修改策略
根据 sepolicy-inject 操纵说明及具体应用场景（例如，修改 /system/app/example.apk），通常情况下可以通过增加适当的 allow 规则来实现目标。实际的规则应针对具体的应用需求而设计。
# 仅作为示例：允许某用户/角色对特定文件进行读写操作
sepolicy-inject deny --set allow_file_read /system/app/example.apk
请注意在修改 SELinux 策略后，务必重启系统确保变更生效。并且建议在非生产环境先在沙箱或模拟环境下测试。
小结
- 使用
sepolicy-inject应用临时策略可快速调整权限设置。 - 直接编辑配置文件和规则可持久保存更改，并且能够精确管理安全约束，但需要详细了解 SELinux 策略机制以避免潜在风险。在进行这些操作之前务必备份原文件。
以上提供了基本指导思想及实践方法，具体细节需根据实际使用场景进一步探索和调整。
正文完