IssueNo:

Description:

稳定性自检：

自检项	自检结果
涉及跨进程调用的相关操作需要抛至主线程或加锁防止并发
成员变量进行赋值或创建需要排查并发
谨慎在lambda表达式中使用引用捕获
谨慎在未经拷贝的情况下使用外部传入的string、C字符串
map\vector\list\set等stl模板类使用时需要排查并发
谨慎考虑加锁范围
在IPC通信中谨慎使用同步通信方式
禁止传递this指针至其他模块或线程（特别是eventhandler任务）
禁止将外部传入的裸指针在内部直接构造智能指针
禁止多个独立创建的智能指针管理同一地址
禁止在析构函数中抛异步任务
禁止js对象在非js线程（例如在IPC线程）创建、使用或销毁
禁止在对外接口中未经判空直接使用外部传入的指针
禁止接口返回局部变量引用
禁止在信号函数中加锁
禁止在关键流程（SA启动、应用启动等主流程）执行耗时的操作
禁止将同一个cpp编译在不同的so中

安全编码自检：

自检项	自检结果
裸指针避免通过隐式转换构造为sptr
json对象在取值之前必须先判断类型，避免类型不匹配
序列化时必须对传入的数组大小进行校验，避免出现超大数组
避免使用未明确位宽的整型，选择使用int8_t、uint8_t等类型
外部传入的路径要做规范化校验，对路径中的.、..、../等特殊字符严格校验
指针变量、表示资源描述符的变量、bool变量必须赋初值
readParcelable获取的对象使用前需要判空
分配和释放内存的函数需要成对出现
申请内存后异常退出前需要及时进行内存释放
内存申请前必须对内存大小进行合法性校验
内存分配后必须判断是否成功
禁止使用realloc、alloca函数
禁止打印文件路径、口令等敏感信息，如有需要，使用private修饰
禁止打印内存地址
整数之间运算时必须严格检查，确保不会出现溢出、反转、除0
禁止对有符号整数进行位操作符运算
禁止对指针进行逻辑或位运算
循环次数如果收外部数据控制，需要检验其合法性
禁止使用内存操作类危险函数，需要使用安全函数
谨慎使用不可重入函数
必须检查安全函数的返回值，并进行正确处理
禁止仅通过TokenType类型判断绕过权限校验

TDD Result:

XTS Result:

是否已执行L0用例

• 已验证
• 不涉及。如不涉及，请写明理由

AI检视评分（使用本地代码检视skills扫描）:

代码检视报告 — commit d05199a "aa命令新增权限"（Round 2 / 指定提交）

统一报告由 codecheck 工作台生成，用于门禁管控。Round 2 基于 Round 1 refute 结果，移除已确认 intentional 不修复的 CC-01（StartAbility gate 会误拦截正常调用方），并对剩余发现按实际影响重新校准严重等级。

---

报告元数据

门禁脚本只读取本 YAML 块。字段名与取值域为固定合约，禁止改名、增删或自定义取值。人工阅读部分从「1. 门禁结论」开始。

codecheck_report:
  schema_version: "1.0"
  scope: "commit 435d7f86 — aa命令新增权限"
  round: 2
  commit_id: "435d7f8645aba2db180b841336d993f141d720f5"
  change_id: "N/A"
  report_id: "435d7f86-R2"
  date: "2026-09-01"
  gate_decision: "approve"
  risk_level: "low"
  score: 92
  dimensions_required: ["security-scanner", "logic-scanner", "input-scanner"]
  dimensions_executed: ["security-scanner", "logic-scanner", "input-scanner"]
  findings_total: 4
  findings_by_severity: {P0: 0, P1: 0, P2: 0, P3: 4}
  gate_blockers: []
  must_fix: []
  followups: ["CC-04", "CC-05", "CC-07", "CC-08"]

---

1. 门禁结论

项目	结论
决策	approve
风险等级	🟢 low
评分	92/100
阻塞项	无
必须修复（P0/P1）	0 项
建议跟进（P2/P3）	4 项

一句话结论：IsLocalDebugOtherAppsCall() 实现正确（devMode 短路 + GetCallingTokenID + VerifyPermissionByTokenId），7 个服务端 gate 的"并列放行"模式一致且 fail-closed；StartAbility(731) gate 经评估确认会误拦截正常调用方的合法拉起，intentionally 不添加；剩余 4 项 P3 均为 DFX 日志改进和同类入口完整性观察，不阻塞上库。

---

3. 必须立即处理（P0/P1）

无。

---

4. 建议本轮或下一补档处理（P2/P3）

ID	优先级	问题	建议行动	排期
CC-04	P3	NotifyProcMemoryLevel 日志打印 isShellCall 但下发 isShellOrLocalDebug，local-debug 调用者时日志与实际值不一致	日志改为打印 isShellOrLocalDebug	下一补档
CC-05	P3	NotifyProcMemoryLevel 失败日志遗漏 isLocalDebugOtherAppsCall 变量值	在日志格式串中追加该变量	下一补档
CC-07	P3	StopServiceAbility 同类 shell-gate 未同步添加 IsLocalDebugOtherAppsCall()，调试工具无法 stop-service	评估是否需要追加放行	下一补档
CC-08	P3	RecordProcessExitReason 未同步添加 IsLocalDebugOtherAppsCall()，aa force-stop 时退出原因未记录但 kill 成功	评估是否需要追加放行以保持 DFR 审计链完整	下一补档

---

5. 分维度速览

维度	结果	关键说明
security-scanner	✅ 通过	IsLocalDebugOtherAppsCall() 实现正确：身份来自 IPCSkeleton::GetCallingTokenID()（非 parcel），devMode 短路在前（fail-closed），权限校验经 AccessTokenKit::VerifyAccessToken；7 个 gate 均为纯增量 OR 放行，不收紧 shell/SA 基线；StartAbility(731) gate 经评估确认会误拦截正常调用方，intentionally 不添加
logic-scanner	✅ 通过	"并列放行"模式一致（不并入 isShellCall 身份）；IsLocalDebugOtherAppsCall() 内置 devMode 门控，与 shell 路径的 devMode 要求一致执行；VerifyKillProcessPermissionCommon 新分支位置正确（SA/shell 之后、VerifyAPL 之前）
input-scanner	✅ 通过	IPC Stub 反序列化四件套基本满足（null 检查 + SanitizeWantParams + interfaceToken）；specifiedFullTokenId 使用 IPCSkeleton::GetCallingUid() 校验 DMS_UID（IPC-006 合规）；MemoryLevelInfo::ReadFromParcel 有 size 上限和 level 值域校验

---

6. 关键发现详情

[CC-04] NotifyProcMemoryLevel 日志与下发值不一致 (P3, scanner=LOG+SEC+INP)

• 位置：services/appmgr/src/app_mgr_service_inner.cpp:4493-4495
• 触发路径：local-debug 调用者（非 shell）→ NotifyProcMemoryLevel → isShellOrLocalDebug = isShellCall || isLocalDebugOtherAppsCall = true → 日志打印 isShellCall=0 但下游收到 1
• 影响：DFX 可观测性问题——故障排查时日志与实际行为不符，可能误导工程师。行为本身在 debug 场景可接受（立即唤醒是 debug 合理语义）。
• 证据：

bool isShellOrLocalDebug = isShellCall || isLocalDebugOtherAppsCall;
TAG_LOGD(AAFwkTag::APPMGR, "isShellCall %{public}d", isShellCall);   // ← 打印 isShellCall
return appRunningManager_->NotifyProcMemoryLevel(procLevelMap, isShellOrLocalDebug);  // ← 下发 OR 值

• 建议：日志改为打印 isShellOrLocalDebug，或同时打印两者。

---

[CC-05] NotifyProcMemoryLevel 失败日志遗漏新增判定变量 (P3, scanner=LOG)

• 位置：services/appmgr/src/app_mgr_service_inner.cpp:4485-4486
• 触发路径：local-debug 调用者被拒（非 devMode 或无权限）→ TAG_LOGE 缺少 isLocalDebugOtherAppsCall 值
• 影响：当 local-debug 调用者被拒时，日志无法解释拒绝原因。
• 证据：

if (!(isMemmgrCall || (isShellCall && isDevelopMode) || isLocalDebugOtherAppsCall)) {
    TAG_LOGE(AAFwkTag::APPMGR, "Permission check failed: ... isMemmgrCall=%{public}d, "
    "isShellCall=%{public}d, isDevelopMode=%{public}d", ...);
    // ← 缺少 isLocalDebugOtherAppsCall
}

• 建议：在日志格式串与参数中追加 isLocalDebugOtherAppsCall。

---

[CC-07] StopServiceAbility 同类 gate 缺失 IsLocalDebugOtherAppsCall (P3, scanner=SEC)

• 位置：services/abilitymgr/src/ability_manager_service.cpp:9169
• 触发路径：调试工具（LOCAL_DEBUG_OTHER_APPS，非 shell/SA）→ aa stop-service → StopServiceAbility → gate 仅检查 isSaCall || isShellCall，调试工具被拒
• 影响：aa stop-service 对调试工具不可用。该入口有独立的 abilityRecord 校验作为后备防护，非安全问题。
• 建议：评估是否需要追加 || IsLocalDebugOtherAppsCall()，与其他 7 个入口保持一致。

---

[CC-08] RecordProcessExitReason gate 缺失 — kill 审计链断裂 (P3, scanner=SEC)

• 位置：services/abilitymgr/src/ability_manager_service.cpp:3786
• 触发路径：调试工具执行 aa force-stop -p <pid> -r <reason> → RecordProcessExitReason（gate 拒绝，返回 ERR_PERMISSION_DENIED）→ KillProcess（VerifyKillProcessPermissionCommon 放行，成功）→ 进程被杀死但退出原因未记录
• 影响：DFR 审计链断裂——进程被杀死但 hisysevent 中 APP_EXIT_REASON 事件缺失。kill 操作本身成功，仅影响故障归因数据完整性。
• 建议：在 RecordProcessExitReason 的 gate 中追加 || IsLocalDebugOtherAppsCall()，保持 DFR 审计链完整。

---

附录：Round 1 → Round 2 变更说明

移除项

Round 1 ID	原等级	处置	理由
CC-01	P0	移除	StartAbility(731) gate 经实测确认会误拦截正常调用方的合法 ability 拉起（StartSelfUIAbility 内部直调、ability_delegator 测试框架等），intentionally 不添加。该入口依赖 interceptor chain + 可见性检查 + callerToken 授权，非本权限的设计职责。

降级/排除项

Round 1 ID	原等级	→ Round 2	理由
CC-02	P1	排除	客户端检查非安全边界（可绕过 aa 直接构造 IPC），RunAsHelpCommand 的客户端 gate 是 UX 便利，真实防护在服务端 7 个 gate
CC-03	P1	排除	VerifyKillProcessPermissionCommon 放行 local-debug 是 by-design debug 能力，devMode + LOCAL_DEBUG_OTHER_APPS 权限双重门控，权限授予策略由 access_token 框架管控
CC-06	P1	排除	HandleStartNativeProcessForDebugger 未做 SanitizeWantParams 是预存问题，非本提交引入（本提交仅扩展权限，未改变 Want 处理逻辑）
CC-09	P2	排除	KillProcessWithReasonInner 是独立 kill 路径，有自身的 PERMISSION_KILL_APP_PROCESSES + IsShellCall 校验，调试工具经 aa force-stop 走 VerifyKillProcessPermissionCommon 路径
CC-10	P2	排除	IsAllowLocalDebugOtherApps vs IsLocalDebugOtherAppsCall 设计差异是 intentional——前者用于 AttachAppDebug（需 debugFromLocal 标志），后者用于通用 gate（不需该标志），适用场景不同
CC-11	P2	排除	GetAppRunningUniqueIdByPid 的 pid 未绑定调用者是 by-design debug 信息访问，devMode + 权限双重门控
CC-12	P2	排除	DumpState/DumpSysState 信息暴露是 by-design debug 能力，各子函数已有按 callerUid 的可见性过滤
CC-13	P2	排除	测试覆盖缺口是改进建议，非代码缺陷
CC-14	P3	排除	aa help 行为回归是 intentional（commit 有意添加 gate）
CC-15	P3	排除	常量命名不一致是风格项，无证据级影响
CC-16	P3	排除	token_setproc.h 未使用是观察项，无安全影响
CC-17	P3	排除	MemoryLevelInfo::ReadFromParcel 死代码是预存问题
CC-18	P3	排除	多余空行是风格项

保留项（均为 P3 观察项）

ID	保留理由
CC-04	DFX 日志与下发值不一致是真实可观测性缺陷，有具体 file:line 和修复方案
CC-05	DFX 日志遗漏变量是真实可观测性缺陷，有具体 file:line 和修复方案
CC-07	同类入口完整性观察，有具体 file:line，可操作
CC-08	DFR 审计链断裂是真实功能影响，有具体触发路径和修复方案