SELinux自定义策略开发需遵循“分析拒绝日志→生成最小权限规则→人工优化→编译加载→验证固化”流程；跳过audit.log分析直接手写.te易导致过度授权或遗漏依赖，audit2allow是生成基础策略最可靠起点。
SELinux 策略模块自定义开发不是“写完就加载”的简单流程，核心在于：先明确被拒行为、再生成最小权限规则、最后验证并固化。跳过日志分析直接手写 .te 文件，极易过度放权或遗漏依赖。
从拒绝日志出发生成基础策略
这是最可靠、最推荐的起点。SELinux 拒绝会记录在 audit.log 中，audit2allow 能自动提取关键信息并转成可读规则：
- 先确保 auditd 正在运行：sudo systemctl start auditd
- 复现问题操作（比如启动某服务失败、访问某个文件报 Permission denied）
- 提取最近的 AVC 拒绝事件：sudo ausearch -m avc -ts recent | audit2allow -M myapp
- 该命令会生成 myapp.te（源码）和 myapp.pp（编译后模块）
手动优化 .te 文件提升安全性
audit2allow 生成的规则常过于宽泛（例如允许全部 file 操作），需人工精简：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 打开 myapp.te，检查 require 块是否只声明了真正用到的类型（如 httpd_t、var_log_t）
- 将模糊的 allow httpd_t self:file { read write }; 替换为具体目标：allow httpd_t var_log_t:file { read append };
- 避免使用通配符或 broad class（如 process、capability），优先限定 tclass 和 perm set
编译、加载与验证全流程
生成的 .pp 文件不能直接生效，必须经过内核策略引擎加载：
- 编译（若修改了 .te）：checkpolicy -o myapp.pp myapp.te
- 加载模块：sudo semodule -i myapp.pp
- 确认已加载：sudo semodule -l | grep myapp
- 查看模块详情：sudo semodule -l -f | grep myapp
- 临时切换到 permissive 模式测试：sudo setenforce 0，验证功能正常后再切回 enforcing
让自定义策略持久化生效
semodule -i 加载的模块默认重启后仍保留，但需注意两点：
- 确保 SELinux 处于 enforcing 或 permissive 模式（sestatus 查看）
- 若系统使用 modular policy（主流发行版默认），模块已自动持久；无需复制 .pp 到 /etc/selinux/ 目录
- 如需卸载：sudo semodule -r myapp
- 调试时可配合 ausearch -m avc -ts boot | audit2why 快速定位残留拒绝
