最近在一個Android 7.0 PDA專案中遇到如下需求：初始化一配置檔案，此配置檔案需要儲存到data分割槽供系統服務和第三方應用進行讀寫操作，另外此配置檔案在系統重啟後保持檔案內容不變，除非恢復出廠才可以恢復成預設配置引數 。因為初始化的配置引數為了方便其它同事修改，這裡就直接將配置檔案直接編譯到系統內的方式實現。大概思路如下：自從Android 增加SELINUX安全機制後，系統檔案許可權為了滿足系統服務和第三方應用都能讀寫的要求，因此我們需要修改SeLinux安全策略相關內容，首先想到在init.rc內拷貝初始化配置檔案到Data分割槽，但是AIL語言沒有判斷檔案存在的功能，因此考慮init.rc內呼叫shell指令碼的方式來滿足需求（shell指令碼語言可以滿足檔案判斷功能）。

這裡只列出需要修改的相關程式碼，本文基於MT6735 Android7.0 軟體平臺，不再累述所遇到的坑，具體如下：

一、建立配置檔案並修改Makefile編譯到系統

建立配置原檔案到如下路徑alps/device/mediatek/mt6735/my_cfg

alps/device/mediatek/mt6735/device.mk 檔案中新增如下一行，系統將會此配置檔案編譯到系統分割槽

PRODUCT_COPY_FILES += $(LOCAL_PATH)/my_cfg:system/etc/my_cfg

二、建立一個Shell指令碼檔案myshell.sh用於拷貝my_cfg配置檔案到data分割槽，myshell.sh同樣按照上述方法將其編譯入系統內

建立指令碼原檔案myshell.sh到如下路徑alps/device/mediatek/mt6735/myshell.sh  其內容如下：

#!/system/bin/sh
mkdir  /data/mycfg/
chown  system.system /data/mycfg
chmod  0777 /data/apkins
if [ -f /data/mycfg/my_cfg ]; then
    echo "my_cfg already exist"
else
    cp  /system/etc/my_cfg /data/my/my_cfg
fi
chmod  0777 /data/mycfg/my_cfg

alps/device/mediatek/mt6735/device.mk

 檔案中新增如下一行，將myshell.sh檔案編譯到系統分割槽

PRODUCT_COPY_FILES += $(LOCAL_PATH)/myshell.sh:system/bin/myshell.sh

三、init.rc內新增執行myshell.sh，這裡我們沒有直接放到init.rc，為了方便直接放入init.rc呼叫到平臺初始化AIL檔案內，如下所示：

alps/device/mediatek/mt6735/init.mt6735.rc 由於需要初始化到data分割槽，這裡新增如下程式碼到on post-fs-data 後 on post-fs-data
……
exec /system/bin/sh /system/bin/apkins.sh
為了給自己在開機狀態下也可以初始化此檔案，添加了service到init.mt6735.rc內，如下所示：

service myshell /system/bin/myshell.sh
        class late_start
        user root
        oneshot
        seclabel u:r:myshell:s0
on property:persist.sys.mycfg=true
        start myshell

四、init.rc內執行shell指令碼需要SeLinux為其放許可權，這裡不累述除錯過程，只列出所需新增的安全策略的相關修改

在檔案alps/device/mediatek/common/sepolicy/full/file_contexts內定義file context 如下所示
/system/bin/myshell.sh        u:object_r:myshell_exec:s0
然後新增myshell_exec相對的安全策略檔案device/mediatek/common/sepolicy/full/myshell.te，其內容如下所示

type myshell, domain;
type myshell_exec,exec_type, file_type;
init_daemon_domain(myshell)
allow myshell system_file:file { read open getattr };
allow myshell self:capability{ chown fowner fsetid setuid setgid dac_override };
allow myshell mycfg_file:dir { write getattr setattr search create add_name remove_name };
allow myshell shell_exec:file { read open getattr };
allow myshell toolbox_exec:file { read open getattr execute execute_no_trans };
allow myshell mycfg_file:file {create write read append open getattr setattr };

除此之外，由於在alps/device/mediatek/common/sepolicy/full/shell.te 檔案內新增如下一行

allow shell myshell_exec:file rx_file_perms;

五、為配置檔案賦值許可權，允許其為系統服務和第三方應用讀寫操作

首先為配置檔案my_cfg新增file context，如下所示
alps/device/mediatek/common/sepolicy/full/file_contexts
/data/mycfg/my_cfg        u:object_r:mycfg_file:s0
然後為系統服務新增對mycfg配置檔案的許可權，如下所示：
alps/device/mediatek/common/sepolicy/full/system_server.te
allow system_server mycfg_file:dir { search };
allow system_server mycfg_file:file { write read append open getattr };
接著為其新增第三方應用訪問mycfg的許可權，所需新增到的檔案及其內容如下所示：
alps/device/mediatek/common/sepolicy/full/untrusted_app.te
allow untrusted_app mycfg_file:dir { search };
allow untrusted_app mycfg_file:file { write read append open getattr };