Star21
588
代码
代码
Issues188
Pull Requests139
项目讨论
Wiki
分析
Star21
588
wkljywkljynew
dc224b20创建于 1 天前历史提交
文件最后提交记录最后更新时间
abilitymgr
!20276 merge aapermission into master aa命令新增权限 Created-by: hanchen45 Commit-by: hanchen45 Merged-by: openharmony_ci Description: **IssueNo**: **Description**: **稳定性自检：** | 自检项 | 自检结果 | | ------------------------------------------------------------ | -------- | | 涉及跨进程调用的相关操作需要抛至主线程或加锁防止并发 | | | 成员变量进行赋值或创建需要排查并发 | | | 谨慎在lambda表达式中使用引用捕获 | | | 谨慎在未经拷贝的情况下使用外部传入的string、C字符串 | | | map\vector\list\set等stl模板类使用时需要排查并发 | | | 谨慎考虑加锁范围 | | | 在IPC通信中谨慎使用同步通信方式 | | | 禁止传递this指针至其他模块或线程（特别是eventhandler任务） | | | 禁止将外部传入的裸指针在内部直接构造智能指针 | | | 禁止多个独立创建的智能指针管理同一地址 | | | 禁止在析构函数中抛异步任务 | | | 禁止js对象在非js线程（例如在IPC线程）创建、使用或销毁 | | | 禁止在对外接口中未经判空直接使用外部传入的指针 | | | 禁止接口返回局部变量引用 | | | 禁止在信号函数中加锁 | | | 禁止在关键流程（SA启动、应用启动等主流程）执行耗时的操作 | | | 禁止将同一个cpp编译在不同的so中 | | **安全编码自检：** | 自检项 | 自检结果 | | -------------------------------------------------------------- | -------- | | 裸指针避免通过隐式转换构造为sptr | | | json对象在取值之前必须先判断类型，避免类型不匹配 | | | 序列化时必须对传入的数组大小进行校验，避免出现超大数组 | | | 避免使用未明确位宽的整型，选择使用int8_t、uint8_t等类型 | | | 外部传入的路径要做规范化校验，对路径中的.、..、../等特殊字符严格校验 | | | 指针变量、表示资源描述符的变量、bool变量必须赋初值 | | | readParcelable获取的对象使用前需要判空 | | | 分配和释放内存的函数需要成对出现 | | | 申请内存后异常退出前需要及时进行内存释放 | | | 内存申请前必须对内存大小进行合法性校验 | | | 内存分配后必须判断是否成功 | | | 禁止使用realloc、alloca函数 | | | 禁止打印文件路径、口令等敏感信息，如有需要，使用private修饰 | | | 禁止打印内存地址 | | | 整数之间运算时必须严格检查，确保不会出现溢出、反转、除0 | | | 禁止对有符号整数进行位操作符运算 | | | 禁止对指针进行逻辑或位运算 | | | 循环次数如果收外部数据控制，需要检验其合法性 | | | 禁止使用内存操作类危险函数，需要使用安全函数 | | | 谨慎使用不可重入函数 | | | 必须检查安全函数的返回值，并进行正确处理 | | | 禁止仅通过TokenType类型判断绕过权限校验 | | **TDD Result**: **XTS Result**: ### 是否已执行L0用例 - [ ] 已验证 - [ ] 不涉及。如不涉及，请写明理由 ### AI检视评分（使用本地代码检视skills扫描）: # 代码检视报告 — commit d05199a "aa命令新增权限"（Round 2 / 指定提交） > 统一报告由 codecheck 工作台生成，**用于门禁管控**。Round 2 基于 Round 1 refute 结果，移除已确认 intentional 不修复的 CC-01（StartAbility gate 会误拦截正常调用方），并对剩余发现按实际影响重新校准严重等级。 --- ## 报告元数据 > **门禁脚本只读取本 YAML 块**。字段名与取值域为固定合约，禁止改名、增删或自定义取值。人工阅读部分从「1. 门禁结论」开始。 <!-- codecheck-report-metadata:start --> yaml codecheck_report: schema_version: "1.0" scope: "commit 435d7f86 — aa命令新增权限" round: 2 commit_id: "435d7f8645aba2db180b841336d993f141d720f5" change_id: "N/A" report_id: "435d7f86-R2" date: "2026-09-01" gate_decision: "approve" risk_level: "low" score: 92 dimensions_required: ["security-scanner", "logic-scanner", "input-scanner"] dimensions_executed: ["security-scanner", "logic-scanner", "input-scanner"] findings_total: 4 findings_by_severity: {P0: 0, P1: 0, P2: 0, P3: 4} gate_blockers: [] must_fix: [] followups: ["CC-04", "CC-05", "CC-07", "CC-08"] <!-- codecheck-report-metadata:end --> --- ## 1. 门禁结论 | 项目 | 结论 | |---|---| | 决策 | **approve** | | 风险等级 | 🟢 low | | 评分 | **92/100** | | 阻塞项 | 无 | | 必须修复（P0/P1） | 0 项 | | 建议跟进（P2/P3） | 4 项 | **一句话结论**：IsLocalDebugOtherAppsCall() 实现正确（devMode 短路 + GetCallingTokenID + VerifyPermissionByTokenId），7 个服务端 gate 的"并列放行"模式一致且 fail-closed；StartAbility(731) gate 经评估确认会误拦截正常调用方的合法拉起，intentionally 不添加；剩余 4 项 P3 均为 DFX 日志改进和同类入口完整性观察，不阻塞上库。 --- ## 3. 必须立即处理（P0/P1） **无。** --- ## 4. 建议本轮或下一补档处理（P2/P3） | ID | 优先级 | 问题 | 建议行动 | 排期 | |---|---|---|---|---| | CC-04 | P3 | NotifyProcMemoryLevel 日志打印 isShellCall 但下发 isShellOrLocalDebug，local-debug 调用者时日志与实际值不一致 | 日志改为打印 isShellOrLocalDebug | 下一补档 | | CC-05 | P3 | NotifyProcMemoryLevel 失败日志遗漏 isLocalDebugOtherAppsCall 变量值 | 在日志格式串中追加该变量 | 下一补档 | | CC-07 | P3 | StopServiceAbility 同类 shell-gate 未同步添加 IsLocalDebugOtherAppsCall()，调试工具无法 stop-service | 评估是否需要追加放行 | 下一补档 | | CC-08 | P3 | RecordProcessExitReason 未同步添加 IsLocalDebugOtherAppsCall()，aa force-stop 时退出原因未记录但 kill 成功 | 评估是否需要追加放行以保持 DFR 审计链完整 | 下一补档 | --- ## 5. 分维度速览 | 维度 | 结果 | 关键说明 | |---|---|---| | security-scanner | ✅ 通过 | IsLocalDebugOtherAppsCall() 实现正确：身份来自 IPCSkeleton::GetCallingTokenID()（非 parcel），devMode 短路在前（fail-closed），权限校验经 AccessTokenKit::VerifyAccessToken；7 个 gate 均为纯增量 OR 放行，不收紧 shell/SA 基线；StartAbility(731) gate 经评估确认会误拦截正常调用方，intentionally 不添加 | | logic-scanner | ✅ 通过 | "并列放行"模式一致（不并入 isShellCall 身份）；IsLocalDebugOtherAppsCall() 内置 devMode 门控，与 shell 路径的 devMode 要求一致执行；VerifyKillProcessPermissionCommon 新分支位置正确（SA/shell 之后、VerifyAPL 之前） | | input-scanner | ✅ 通过 | IPC Stub 反序列化四件套基本满足（null 检查 + SanitizeWantParams + interfaceToken）；specifiedFullTokenId 使用 IPCSkeleton::GetCallingUid() 校验 DMS_UID（IPC-006 合规）；MemoryLevelInfo::ReadFromParcel 有 size 上限和 level 值域校验 | --- ## 6. 关键发现详情 ### [CC-04] NotifyProcMemoryLevel 日志与下发值不一致 (P3, scanner=LOG+SEC+INP) - **位置**：services/appmgr/src/app_mgr_service_inner.cpp:4493-4495 - **触发路径**：local-debug 调用者（非 shell）→ NotifyProcMemoryLevel → isShellOrLocalDebug = isShellCall || isLocalDebugOtherAppsCall = true → 日志打印 isShellCall=0 但下游收到 1 - **影响**：DFX 可观测性问题——故障排查时日志与实际行为不符，可能误导工程师。行为本身在 debug 场景可接受（立即唤醒是 debug 合理语义）。 - **证据**： cpp bool isShellOrLocalDebug = isShellCall || isLocalDebugOtherAppsCall; TAG_LOGD(AAFwkTag::APPMGR, "isShellCall %{public}d", isShellCall); // ← 打印 isShellCall return appRunningManager_->NotifyProcMemoryLevel(procLevelMap, isShellOrLocalDebug); // ← 下发 OR 值 - **建议**：日志改为打印 isShellOrLocalDebug，或同时打印两者。 --- ### [CC-05] NotifyProcMemoryLevel 失败日志遗漏新增判定变量 (P3, scanner=LOG) - **位置**：services/appmgr/src/app_mgr_service_inner.cpp:4485-4486 - **触发路径**：local-debug 调用者被拒（非 devMode 或无权限）→ TAG_LOGE 缺少 isLocalDebugOtherAppsCall 值 - **影响**：当 local-debug 调用者被拒时，日志无法解释拒绝原因。 - **证据**： cpp if (!(isMemmgrCall || (isShellCall && isDevelopMode) || isLocalDebugOtherAppsCall)) { TAG_LOGE(AAFwkTag::APPMGR, "Permission check failed: ... isMemmgrCall=%{public}d, " "isShellCall=%{public}d, isDevelopMode=%{public}d", ...); // ← 缺少 isLocalDebugOtherAppsCall } - **建议**：在日志格式串与参数中追加 isLocalDebugOtherAppsCall。 --- ### [CC-07] StopServiceAbility 同类 gate 缺失 IsLocalDebugOtherAppsCall (P3, scanner=SEC) - **位置**：services/abilitymgr/src/ability_manager_service.cpp:9169 - **触发路径**：调试工具（LOCAL_DEBUG_OTHER_APPS，非 shell/SA）→ aa stop-service → StopServiceAbility → gate 仅检查 isSaCall || isShellCall，调试工具被拒 - **影响**：aa stop-service 对调试工具不可用。该入口有独立的 abilityRecord 校验作为后备防护，非安全问题。 - **建议**：评估是否需要追加 || IsLocalDebugOtherAppsCall()，与其他 7 个入口保持一致。 --- ### [CC-08] RecordProcessExitReason gate 缺失 — kill 审计链断裂 (P3, scanner=SEC) - **位置**：services/abilitymgr/src/ability_manager_service.cpp:3786 - **触发路径**：调试工具执行 aa force-stop -p <pid> -r <reason> → RecordProcessExitReason（gate 拒绝，返回 ERR_PERMISSION_DENIED）→ KillProcess（VerifyKillProcessPermissionCommon 放行，成功）→ 进程被杀死但退出原因未记录 - **影响**：DFR 审计链断裂——进程被杀死但 hisysevent 中 APP_EXIT_REASON 事件缺失。kill 操作本身成功，仅影响故障归因数据完整性。 - **建议**：在 RecordProcessExitReason 的 gate 中追加 || IsLocalDebugOtherAppsCall()，保持 DFR 审计链完整。 --- ## 附录：Round 1 → Round 2 变更说明 ### 移除项 | Round 1 ID | 原等级 | 处置 | 理由 | |---|---|---|---| | CC-01 | P0 | **移除** | StartAbility(731) gate 经实测确认会误拦截正常调用方的合法 ability 拉起（StartSelfUIAbility 内部直调、ability_delegator 测试框架等），intentionally 不添加。该入口依赖 interceptor chain + 可见性检查 + callerToken 授权，非本权限的设计职责。 | ### 降级/排除项 | Round 1 ID | 原等级 | → Round 2 | 理由 | |---|---|---|---| | CC-02 | P1 | 排除 | 客户端检查非安全边界（可绕过 aa 直接构造 IPC），RunAsHelpCommand 的客户端 gate 是 UX 便利，真实防护在服务端 7 个 gate | | CC-03 | P1 | 排除 | VerifyKillProcessPermissionCommon 放行 local-debug 是 by-design debug 能力，devMode + LOCAL_DEBUG_OTHER_APPS 权限双重门控，权限授予策略由 access_token 框架管控 | | CC-06 | P1 | 排除 | HandleStartNativeProcessForDebugger 未做 SanitizeWantParams 是预存问题，非本提交引入（本提交仅扩展权限，未改变 Want 处理逻辑） | | CC-09 | P2 | 排除 | KillProcessWithReasonInner 是独立 kill 路径，有自身的 PERMISSION_KILL_APP_PROCESSES + IsShellCall 校验，调试工具经 aa force-stop 走 VerifyKillProcessPermissionCommon 路径 | | CC-10 | P2 | 排除 | IsAllowLocalDebugOtherApps vs IsLocalDebugOtherAppsCall 设计差异是 intentional——前者用于 AttachAppDebug（需 debugFromLocal 标志），后者用于通用 gate（不需该标志），适用场景不同 | | CC-11 | P2 | 排除 | GetAppRunningUniqueIdByPid 的 pid 未绑定调用者是 by-design debug 信息访问，devMode + 权限双重门控 | | CC-12 | P2 | 排除 | DumpState/DumpSysState 信息暴露是 by-design debug 能力，各子函数已有按 callerUid 的可见性过滤 | | CC-13 | P2 | 排除 | 测试覆盖缺口是改进建议，非代码缺陷 | | CC-14 | P3 | 排除 | aa help 行为回归是 intentional（commit 有意添加 gate） | | CC-15 | P3 | 排除 | 常量命名不一致是风格项，无证据级影响 | | CC-16 | P3 | 排除 | token_setproc.h 未使用是观察项，无安全影响 | | CC-17 | P3 | 排除 | MemoryLevelInfo::ReadFromParcel 死代码是预存问题 | | CC-18 | P3 | 排除 | 多余空行是风格项 | ### 保留项（均为 P3 观察项） | ID | 保留理由 | |---|---| | CC-04 | DFX 日志与下发值不一致是真实可观测性缺陷，有具体 file:line 和修复方案 | | CC-05 | DFX 日志遗漏变量是真实可观测性缺陷，有具体 file:line 和修复方案 | | CC-07 | 同类入口完整性观察，有具体 file:line，可操作 | | CC-08 | DFR 审计链断裂是真实功能影响，有具体触发路径和修复方案 | See merge request: openharmony/ability_ability_runtime!20276
1 天前
appdfr
Message: 乘法溢出优化 Signed-off-by: zhengdongdong12 <zhengchengkai@huawei.com>
12 天前
appmgr
!20276 merge aapermission into master aa命令新增权限 Created-by: hanchen45 Commit-by: hanchen45 Merged-by: openharmony_ci Description: **IssueNo**: **Description**: **稳定性自检：** | 自检项 | 自检结果 | | ------------------------------------------------------------ | -------- | | 涉及跨进程调用的相关操作需要抛至主线程或加锁防止并发 | | | 成员变量进行赋值或创建需要排查并发 | | | 谨慎在lambda表达式中使用引用捕获 | | | 谨慎在未经拷贝的情况下使用外部传入的string、C字符串 | | | map\vector\list\set等stl模板类使用时需要排查并发 | | | 谨慎考虑加锁范围 | | | 在IPC通信中谨慎使用同步通信方式 | | | 禁止传递this指针至其他模块或线程（特别是eventhandler任务） | | | 禁止将外部传入的裸指针在内部直接构造智能指针 | | | 禁止多个独立创建的智能指针管理同一地址 | | | 禁止在析构函数中抛异步任务 | | | 禁止js对象在非js线程（例如在IPC线程）创建、使用或销毁 | | | 禁止在对外接口中未经判空直接使用外部传入的指针 | | | 禁止接口返回局部变量引用 | | | 禁止在信号函数中加锁 | | | 禁止在关键流程（SA启动、应用启动等主流程）执行耗时的操作 | | | 禁止将同一个cpp编译在不同的so中 | | **安全编码自检：** | 自检项 | 自检结果 | | -------------------------------------------------------------- | -------- | | 裸指针避免通过隐式转换构造为sptr | | | json对象在取值之前必须先判断类型，避免类型不匹配 | | | 序列化时必须对传入的数组大小进行校验，避免出现超大数组 | | | 避免使用未明确位宽的整型，选择使用int8_t、uint8_t等类型 | | | 外部传入的路径要做规范化校验，对路径中的.、..、../等特殊字符严格校验 | | | 指针变量、表示资源描述符的变量、bool变量必须赋初值 | | | readParcelable获取的对象使用前需要判空 | | | 分配和释放内存的函数需要成对出现 | | | 申请内存后异常退出前需要及时进行内存释放 | | | 内存申请前必须对内存大小进行合法性校验 | | | 内存分配后必须判断是否成功 | | | 禁止使用realloc、alloca函数 | | | 禁止打印文件路径、口令等敏感信息，如有需要，使用private修饰 | | | 禁止打印内存地址 | | | 整数之间运算时必须严格检查，确保不会出现溢出、反转、除0 | | | 禁止对有符号整数进行位操作符运算 | | | 禁止对指针进行逻辑或位运算 | | | 循环次数如果收外部数据控制，需要检验其合法性 | | | 禁止使用内存操作类危险函数，需要使用安全函数 | | | 谨慎使用不可重入函数 | | | 必须检查安全函数的返回值，并进行正确处理 | | | 禁止仅通过TokenType类型判断绕过权限校验 | | **TDD Result**: **XTS Result**: ### 是否已执行L0用例 - [ ] 已验证 - [ ] 不涉及。如不涉及，请写明理由 ### AI检视评分（使用本地代码检视skills扫描）: # 代码检视报告 — commit d05199a "aa命令新增权限"（Round 2 / 指定提交） > 统一报告由 codecheck 工作台生成，**用于门禁管控**。Round 2 基于 Round 1 refute 结果，移除已确认 intentional 不修复的 CC-01（StartAbility gate 会误拦截正常调用方），并对剩余发现按实际影响重新校准严重等级。 --- ## 报告元数据 > **门禁脚本只读取本 YAML 块**。字段名与取值域为固定合约，禁止改名、增删或自定义取值。人工阅读部分从「1. 门禁结论」开始。 <!-- codecheck-report-metadata:start --> yaml codecheck_report: schema_version: "1.0" scope: "commit 435d7f86 — aa命令新增权限" round: 2 commit_id: "435d7f8645aba2db180b841336d993f141d720f5" change_id: "N/A" report_id: "435d7f86-R2" date: "2026-09-01" gate_decision: "approve" risk_level: "low" score: 92 dimensions_required: ["security-scanner", "logic-scanner", "input-scanner"] dimensions_executed: ["security-scanner", "logic-scanner", "input-scanner"] findings_total: 4 findings_by_severity: {P0: 0, P1: 0, P2: 0, P3: 4} gate_blockers: [] must_fix: [] followups: ["CC-04", "CC-05", "CC-07", "CC-08"] <!-- codecheck-report-metadata:end --> --- ## 1. 门禁结论 | 项目 | 结论 | |---|---| | 决策 | **approve** | | 风险等级 | 🟢 low | | 评分 | **92/100** | | 阻塞项 | 无 | | 必须修复（P0/P1） | 0 项 | | 建议跟进（P2/P3） | 4 项 | **一句话结论**：IsLocalDebugOtherAppsCall() 实现正确（devMode 短路 + GetCallingTokenID + VerifyPermissionByTokenId），7 个服务端 gate 的"并列放行"模式一致且 fail-closed；StartAbility(731) gate 经评估确认会误拦截正常调用方的合法拉起，intentionally 不添加；剩余 4 项 P3 均为 DFX 日志改进和同类入口完整性观察，不阻塞上库。 --- ## 3. 必须立即处理（P0/P1） **无。** --- ## 4. 建议本轮或下一补档处理（P2/P3） | ID | 优先级 | 问题 | 建议行动 | 排期 | |---|---|---|---|---| | CC-04 | P3 | NotifyProcMemoryLevel 日志打印 isShellCall 但下发 isShellOrLocalDebug，local-debug 调用者时日志与实际值不一致 | 日志改为打印 isShellOrLocalDebug | 下一补档 | | CC-05 | P3 | NotifyProcMemoryLevel 失败日志遗漏 isLocalDebugOtherAppsCall 变量值 | 在日志格式串中追加该变量 | 下一补档 | | CC-07 | P3 | StopServiceAbility 同类 shell-gate 未同步添加 IsLocalDebugOtherAppsCall()，调试工具无法 stop-service | 评估是否需要追加放行 | 下一补档 | | CC-08 | P3 | RecordProcessExitReason 未同步添加 IsLocalDebugOtherAppsCall()，aa force-stop 时退出原因未记录但 kill 成功 | 评估是否需要追加放行以保持 DFR 审计链完整 | 下一补档 | --- ## 5. 分维度速览 | 维度 | 结果 | 关键说明 | |---|---|---| | security-scanner | ✅ 通过 | IsLocalDebugOtherAppsCall() 实现正确：身份来自 IPCSkeleton::GetCallingTokenID()（非 parcel），devMode 短路在前（fail-closed），权限校验经 AccessTokenKit::VerifyAccessToken；7 个 gate 均为纯增量 OR 放行，不收紧 shell/SA 基线；StartAbility(731) gate 经评估确认会误拦截正常调用方，intentionally 不添加 | | logic-scanner | ✅ 通过 | "并列放行"模式一致（不并入 isShellCall 身份）；IsLocalDebugOtherAppsCall() 内置 devMode 门控，与 shell 路径的 devMode 要求一致执行；VerifyKillProcessPermissionCommon 新分支位置正确（SA/shell 之后、VerifyAPL 之前） | | input-scanner | ✅ 通过 | IPC Stub 反序列化四件套基本满足（null 检查 + SanitizeWantParams + interfaceToken）；specifiedFullTokenId 使用 IPCSkeleton::GetCallingUid() 校验 DMS_UID（IPC-006 合规）；MemoryLevelInfo::ReadFromParcel 有 size 上限和 level 值域校验 | --- ## 6. 关键发现详情 ### [CC-04] NotifyProcMemoryLevel 日志与下发值不一致 (P3, scanner=LOG+SEC+INP) - **位置**：services/appmgr/src/app_mgr_service_inner.cpp:4493-4495 - **触发路径**：local-debug 调用者（非 shell）→ NotifyProcMemoryLevel → isShellOrLocalDebug = isShellCall || isLocalDebugOtherAppsCall = true → 日志打印 isShellCall=0 但下游收到 1 - **影响**：DFX 可观测性问题——故障排查时日志与实际行为不符，可能误导工程师。行为本身在 debug 场景可接受（立即唤醒是 debug 合理语义）。 - **证据**： cpp bool isShellOrLocalDebug = isShellCall || isLocalDebugOtherAppsCall; TAG_LOGD(AAFwkTag::APPMGR, "isShellCall %{public}d", isShellCall); // ← 打印 isShellCall return appRunningManager_->NotifyProcMemoryLevel(procLevelMap, isShellOrLocalDebug); // ← 下发 OR 值 - **建议**：日志改为打印 isShellOrLocalDebug，或同时打印两者。 --- ### [CC-05] NotifyProcMemoryLevel 失败日志遗漏新增判定变量 (P3, scanner=LOG) - **位置**：services/appmgr/src/app_mgr_service_inner.cpp:4485-4486 - **触发路径**：local-debug 调用者被拒（非 devMode 或无权限）→ TAG_LOGE 缺少 isLocalDebugOtherAppsCall 值 - **影响**：当 local-debug 调用者被拒时，日志无法解释拒绝原因。 - **证据**： cpp if (!(isMemmgrCall || (isShellCall && isDevelopMode) || isLocalDebugOtherAppsCall)) { TAG_LOGE(AAFwkTag::APPMGR, "Permission check failed: ... isMemmgrCall=%{public}d, " "isShellCall=%{public}d, isDevelopMode=%{public}d", ...); // ← 缺少 isLocalDebugOtherAppsCall } - **建议**：在日志格式串与参数中追加 isLocalDebugOtherAppsCall。 --- ### [CC-07] StopServiceAbility 同类 gate 缺失 IsLocalDebugOtherAppsCall (P3, scanner=SEC) - **位置**：services/abilitymgr/src/ability_manager_service.cpp:9169 - **触发路径**：调试工具（LOCAL_DEBUG_OTHER_APPS，非 shell/SA）→ aa stop-service → StopServiceAbility → gate 仅检查 isSaCall || isShellCall，调试工具被拒 - **影响**：aa stop-service 对调试工具不可用。该入口有独立的 abilityRecord 校验作为后备防护，非安全问题。 - **建议**：评估是否需要追加 || IsLocalDebugOtherAppsCall()，与其他 7 个入口保持一致。 --- ### [CC-08] RecordProcessExitReason gate 缺失 — kill 审计链断裂 (P3, scanner=SEC) - **位置**：services/abilitymgr/src/ability_manager_service.cpp:3786 - **触发路径**：调试工具执行 aa force-stop -p <pid> -r <reason> → RecordProcessExitReason（gate 拒绝，返回 ERR_PERMISSION_DENIED）→ KillProcess（VerifyKillProcessPermissionCommon 放行，成功）→ 进程被杀死但退出原因未记录 - **影响**：DFR 审计链断裂——进程被杀死但 hisysevent 中 APP_EXIT_REASON 事件缺失。kill 操作本身成功，仅影响故障归因数据完整性。 - **建议**：在 RecordProcessExitReason 的 gate 中追加 || IsLocalDebugOtherAppsCall()，保持 DFR 审计链完整。 --- ## 附录：Round 1 → Round 2 变更说明 ### 移除项 | Round 1 ID | 原等级 | 处置 | 理由 | |---|---|---|---| | CC-01 | P0 | **移除** | StartAbility(731) gate 经实测确认会误拦截正常调用方的合法 ability 拉起（StartSelfUIAbility 内部直调、ability_delegator 测试框架等），intentionally 不添加。该入口依赖 interceptor chain + 可见性检查 + callerToken 授权，非本权限的设计职责。 | ### 降级/排除项 | Round 1 ID | 原等级 | → Round 2 | 理由 | |---|---|---|---| | CC-02 | P1 | 排除 | 客户端检查非安全边界（可绕过 aa 直接构造 IPC），RunAsHelpCommand 的客户端 gate 是 UX 便利，真实防护在服务端 7 个 gate | | CC-03 | P1 | 排除 | VerifyKillProcessPermissionCommon 放行 local-debug 是 by-design debug 能力，devMode + LOCAL_DEBUG_OTHER_APPS 权限双重门控，权限授予策略由 access_token 框架管控 | | CC-06 | P1 | 排除 | HandleStartNativeProcessForDebugger 未做 SanitizeWantParams 是预存问题，非本提交引入（本提交仅扩展权限，未改变 Want 处理逻辑） | | CC-09 | P2 | 排除 | KillProcessWithReasonInner 是独立 kill 路径，有自身的 PERMISSION_KILL_APP_PROCESSES + IsShellCall 校验，调试工具经 aa force-stop 走 VerifyKillProcessPermissionCommon 路径 | | CC-10 | P2 | 排除 | IsAllowLocalDebugOtherApps vs IsLocalDebugOtherAppsCall 设计差异是 intentional——前者用于 AttachAppDebug（需 debugFromLocal 标志），后者用于通用 gate（不需该标志），适用场景不同 | | CC-11 | P2 | 排除 | GetAppRunningUniqueIdByPid 的 pid 未绑定调用者是 by-design debug 信息访问，devMode + 权限双重门控 | | CC-12 | P2 | 排除 | DumpState/DumpSysState 信息暴露是 by-design debug 能力，各子函数已有按 callerUid 的可见性过滤 | | CC-13 | P2 | 排除 | 测试覆盖缺口是改进建议，非代码缺陷 | | CC-14 | P3 | 排除 | aa help 行为回归是 intentional（commit 有意添加 gate） | | CC-15 | P3 | 排除 | 常量命名不一致是风格项，无证据级影响 | | CC-16 | P3 | 排除 | token_setproc.h 未使用是观察项，无安全影响 | | CC-17 | P3 | 排除 | MemoryLevelInfo::ReadFromParcel 死代码是预存问题 | | CC-18 | P3 | 排除 | 多余空行是风格项 | ### 保留项（均为 P3 观察项） | ID | 保留理由 | |---|---| | CC-04 | DFX 日志与下发值不一致是真实可观测性缺陷，有具体 file:line 和修复方案 | | CC-05 | DFX 日志遗漏变量是真实可观测性缺陷，有具体 file:line 和修复方案 | | CC-07 | 同类入口完整性观察，有具体 file:line，可操作 | | CC-08 | DFR 审计链断裂是真实功能影响，有具体触发路径和修复方案 | See merge request: openharmony/ability_ability_runtime!20276
1 天前
common
!20276 merge aapermission into master aa命令新增权限 Created-by: hanchen45 Commit-by: hanchen45 Merged-by: openharmony_ci Description: **IssueNo**: **Description**: **稳定性自检：** | 自检项 | 自检结果 | | ------------------------------------------------------------ | -------- | | 涉及跨进程调用的相关操作需要抛至主线程或加锁防止并发 | | | 成员变量进行赋值或创建需要排查并发 | | | 谨慎在lambda表达式中使用引用捕获 | | | 谨慎在未经拷贝的情况下使用外部传入的string、C字符串 | | | map\vector\list\set等stl模板类使用时需要排查并发 | | | 谨慎考虑加锁范围 | | | 在IPC通信中谨慎使用同步通信方式 | | | 禁止传递this指针至其他模块或线程（特别是eventhandler任务） | | | 禁止将外部传入的裸指针在内部直接构造智能指针 | | | 禁止多个独立创建的智能指针管理同一地址 | | | 禁止在析构函数中抛异步任务 | | | 禁止js对象在非js线程（例如在IPC线程）创建、使用或销毁 | | | 禁止在对外接口中未经判空直接使用外部传入的指针 | | | 禁止接口返回局部变量引用 | | | 禁止在信号函数中加锁 | | | 禁止在关键流程（SA启动、应用启动等主流程）执行耗时的操作 | | | 禁止将同一个cpp编译在不同的so中 | | **安全编码自检：** | 自检项 | 自检结果 | | -------------------------------------------------------------- | -------- | | 裸指针避免通过隐式转换构造为sptr | | | json对象在取值之前必须先判断类型，避免类型不匹配 | | | 序列化时必须对传入的数组大小进行校验，避免出现超大数组 | | | 避免使用未明确位宽的整型，选择使用int8_t、uint8_t等类型 | | | 外部传入的路径要做规范化校验，对路径中的.、..、../等特殊字符严格校验 | | | 指针变量、表示资源描述符的变量、bool变量必须赋初值 | | | readParcelable获取的对象使用前需要判空 | | | 分配和释放内存的函数需要成对出现 | | | 申请内存后异常退出前需要及时进行内存释放 | | | 内存申请前必须对内存大小进行合法性校验 | | | 内存分配后必须判断是否成功 | | | 禁止使用realloc、alloca函数 | | | 禁止打印文件路径、口令等敏感信息，如有需要，使用private修饰 | | | 禁止打印内存地址 | | | 整数之间运算时必须严格检查，确保不会出现溢出、反转、除0 | | | 禁止对有符号整数进行位操作符运算 | | | 禁止对指针进行逻辑或位运算 | | | 循环次数如果收外部数据控制，需要检验其合法性 | | | 禁止使用内存操作类危险函数，需要使用安全函数 | | | 谨慎使用不可重入函数 | | | 必须检查安全函数的返回值，并进行正确处理 | | | 禁止仅通过TokenType类型判断绕过权限校验 | | **TDD Result**: **XTS Result**: ### 是否已执行L0用例 - [ ] 已验证 - [ ] 不涉及。如不涉及，请写明理由 ### AI检视评分（使用本地代码检视skills扫描）: # 代码检视报告 — commit d05199a "aa命令新增权限"（Round 2 / 指定提交） > 统一报告由 codecheck 工作台生成，**用于门禁管控**。Round 2 基于 Round 1 refute 结果，移除已确认 intentional 不修复的 CC-01（StartAbility gate 会误拦截正常调用方），并对剩余发现按实际影响重新校准严重等级。 --- ## 报告元数据 > **门禁脚本只读取本 YAML 块**。字段名与取值域为固定合约，禁止改名、增删或自定义取值。人工阅读部分从「1. 门禁结论」开始。 <!-- codecheck-report-metadata:start --> yaml codecheck_report: schema_version: "1.0" scope: "commit 435d7f86 — aa命令新增权限" round: 2 commit_id: "435d7f8645aba2db180b841336d993f141d720f5" change_id: "N/A" report_id: "435d7f86-R2" date: "2026-09-01" gate_decision: "approve" risk_level: "low" score: 92 dimensions_required: ["security-scanner", "logic-scanner", "input-scanner"] dimensions_executed: ["security-scanner", "logic-scanner", "input-scanner"] findings_total: 4 findings_by_severity: {P0: 0, P1: 0, P2: 0, P3: 4} gate_blockers: [] must_fix: [] followups: ["CC-04", "CC-05", "CC-07", "CC-08"] <!-- codecheck-report-metadata:end --> --- ## 1. 门禁结论 | 项目 | 结论 | |---|---| | 决策 | **approve** | | 风险等级 | 🟢 low | | 评分 | **92/100** | | 阻塞项 | 无 | | 必须修复（P0/P1） | 0 项 | | 建议跟进（P2/P3） | 4 项 | **一句话结论**：IsLocalDebugOtherAppsCall() 实现正确（devMode 短路 + GetCallingTokenID + VerifyPermissionByTokenId），7 个服务端 gate 的"并列放行"模式一致且 fail-closed；StartAbility(731) gate 经评估确认会误拦截正常调用方的合法拉起，intentionally 不添加；剩余 4 项 P3 均为 DFX 日志改进和同类入口完整性观察，不阻塞上库。 --- ## 3. 必须立即处理（P0/P1） **无。** --- ## 4. 建议本轮或下一补档处理（P2/P3） | ID | 优先级 | 问题 | 建议行动 | 排期 | |---|---|---|---|---| | CC-04 | P3 | NotifyProcMemoryLevel 日志打印 isShellCall 但下发 isShellOrLocalDebug，local-debug 调用者时日志与实际值不一致 | 日志改为打印 isShellOrLocalDebug | 下一补档 | | CC-05 | P3 | NotifyProcMemoryLevel 失败日志遗漏 isLocalDebugOtherAppsCall 变量值 | 在日志格式串中追加该变量 | 下一补档 | | CC-07 | P3 | StopServiceAbility 同类 shell-gate 未同步添加 IsLocalDebugOtherAppsCall()，调试工具无法 stop-service | 评估是否需要追加放行 | 下一补档 | | CC-08 | P3 | RecordProcessExitReason 未同步添加 IsLocalDebugOtherAppsCall()，aa force-stop 时退出原因未记录但 kill 成功 | 评估是否需要追加放行以保持 DFR 审计链完整 | 下一补档 | --- ## 5. 分维度速览 | 维度 | 结果 | 关键说明 | |---|---|---| | security-scanner | ✅ 通过 | IsLocalDebugOtherAppsCall() 实现正确：身份来自 IPCSkeleton::GetCallingTokenID()（非 parcel），devMode 短路在前（fail-closed），权限校验经 AccessTokenKit::VerifyAccessToken；7 个 gate 均为纯增量 OR 放行，不收紧 shell/SA 基线；StartAbility(731) gate 经评估确认会误拦截正常调用方，intentionally 不添加 | | logic-scanner | ✅ 通过 | "并列放行"模式一致（不并入 isShellCall 身份）；IsLocalDebugOtherAppsCall() 内置 devMode 门控，与 shell 路径的 devMode 要求一致执行；VerifyKillProcessPermissionCommon 新分支位置正确（SA/shell 之后、VerifyAPL 之前） | | input-scanner | ✅ 通过 | IPC Stub 反序列化四件套基本满足（null 检查 + SanitizeWantParams + interfaceToken）；specifiedFullTokenId 使用 IPCSkeleton::GetCallingUid() 校验 DMS_UID（IPC-006 合规）；MemoryLevelInfo::ReadFromParcel 有 size 上限和 level 值域校验 | --- ## 6. 关键发现详情 ### [CC-04] NotifyProcMemoryLevel 日志与下发值不一致 (P3, scanner=LOG+SEC+INP) - **位置**：services/appmgr/src/app_mgr_service_inner.cpp:4493-4495 - **触发路径**：local-debug 调用者（非 shell）→ NotifyProcMemoryLevel → isShellOrLocalDebug = isShellCall || isLocalDebugOtherAppsCall = true → 日志打印 isShellCall=0 但下游收到 1 - **影响**：DFX 可观测性问题——故障排查时日志与实际行为不符，可能误导工程师。行为本身在 debug 场景可接受（立即唤醒是 debug 合理语义）。 - **证据**： cpp bool isShellOrLocalDebug = isShellCall || isLocalDebugOtherAppsCall; TAG_LOGD(AAFwkTag::APPMGR, "isShellCall %{public}d", isShellCall); // ← 打印 isShellCall return appRunningManager_->NotifyProcMemoryLevel(procLevelMap, isShellOrLocalDebug); // ← 下发 OR 值 - **建议**：日志改为打印 isShellOrLocalDebug，或同时打印两者。 --- ### [CC-05] NotifyProcMemoryLevel 失败日志遗漏新增判定变量 (P3, scanner=LOG) - **位置**：services/appmgr/src/app_mgr_service_inner.cpp:4485-4486 - **触发路径**：local-debug 调用者被拒（非 devMode 或无权限）→ TAG_LOGE 缺少 isLocalDebugOtherAppsCall 值 - **影响**：当 local-debug 调用者被拒时，日志无法解释拒绝原因。 - **证据**： cpp if (!(isMemmgrCall || (isShellCall && isDevelopMode) || isLocalDebugOtherAppsCall)) { TAG_LOGE(AAFwkTag::APPMGR, "Permission check failed: ... isMemmgrCall=%{public}d, " "isShellCall=%{public}d, isDevelopMode=%{public}d", ...); // ← 缺少 isLocalDebugOtherAppsCall } - **建议**：在日志格式串与参数中追加 isLocalDebugOtherAppsCall。 --- ### [CC-07] StopServiceAbility 同类 gate 缺失 IsLocalDebugOtherAppsCall (P3, scanner=SEC) - **位置**：services/abilitymgr/src/ability_manager_service.cpp:9169 - **触发路径**：调试工具（LOCAL_DEBUG_OTHER_APPS，非 shell/SA）→ aa stop-service → StopServiceAbility → gate 仅检查 isSaCall || isShellCall，调试工具被拒 - **影响**：aa stop-service 对调试工具不可用。该入口有独立的 abilityRecord 校验作为后备防护，非安全问题。 - **建议**：评估是否需要追加 || IsLocalDebugOtherAppsCall()，与其他 7 个入口保持一致。 --- ### [CC-08] RecordProcessExitReason gate 缺失 — kill 审计链断裂 (P3, scanner=SEC) - **位置**：services/abilitymgr/src/ability_manager_service.cpp:3786 - **触发路径**：调试工具执行 aa force-stop -p <pid> -r <reason> → RecordProcessExitReason（gate 拒绝，返回 ERR_PERMISSION_DENIED）→ KillProcess（VerifyKillProcessPermissionCommon 放行，成功）→ 进程被杀死但退出原因未记录 - **影响**：DFR 审计链断裂——进程被杀死但 hisysevent 中 APP_EXIT_REASON 事件缺失。kill 操作本身成功，仅影响故障归因数据完整性。 - **建议**：在 RecordProcessExitReason 的 gate 中追加 || IsLocalDebugOtherAppsCall()，保持 DFR 审计链完整。 --- ## 附录：Round 1 → Round 2 变更说明 ### 移除项 | Round 1 ID | 原等级 | 处置 | 理由 | |---|---|---|---| | CC-01 | P0 | **移除** | StartAbility(731) gate 经实测确认会误拦截正常调用方的合法 ability 拉起（StartSelfUIAbility 内部直调、ability_delegator 测试框架等），intentionally 不添加。该入口依赖 interceptor chain + 可见性检查 + callerToken 授权，非本权限的设计职责。 | ### 降级/排除项 | Round 1 ID | 原等级 | → Round 2 | 理由 | |---|---|---|---| | CC-02 | P1 | 排除 | 客户端检查非安全边界（可绕过 aa 直接构造 IPC），RunAsHelpCommand 的客户端 gate 是 UX 便利，真实防护在服务端 7 个 gate | | CC-03 | P1 | 排除 | VerifyKillProcessPermissionCommon 放行 local-debug 是 by-design debug 能力，devMode + LOCAL_DEBUG_OTHER_APPS 权限双重门控，权限授予策略由 access_token 框架管控 | | CC-06 | P1 | 排除 | HandleStartNativeProcessForDebugger 未做 SanitizeWantParams 是预存问题，非本提交引入（本提交仅扩展权限，未改变 Want 处理逻辑） | | CC-09 | P2 | 排除 | KillProcessWithReasonInner 是独立 kill 路径，有自身的 PERMISSION_KILL_APP_PROCESSES + IsShellCall 校验，调试工具经 aa force-stop 走 VerifyKillProcessPermissionCommon 路径 | | CC-10 | P2 | 排除 | IsAllowLocalDebugOtherApps vs IsLocalDebugOtherAppsCall 设计差异是 intentional——前者用于 AttachAppDebug（需 debugFromLocal 标志），后者用于通用 gate（不需该标志），适用场景不同 | | CC-11 | P2 | 排除 | GetAppRunningUniqueIdByPid 的 pid 未绑定调用者是 by-design debug 信息访问，devMode + 权限双重门控 | | CC-12 | P2 | 排除 | DumpState/DumpSysState 信息暴露是 by-design debug 能力，各子函数已有按 callerUid 的可见性过滤 | | CC-13 | P2 | 排除 | 测试覆盖缺口是改进建议，非代码缺陷 | | CC-14 | P3 | 排除 | aa help 行为回归是 intentional（commit 有意添加 gate） | | CC-15 | P3 | 排除 | 常量命名不一致是风格项，无证据级影响 | | CC-16 | P3 | 排除 | token_setproc.h 未使用是观察项，无安全影响 | | CC-17 | P3 | 排除 | MemoryLevelInfo::ReadFromParcel 死代码是预存问题 | | CC-18 | P3 | 排除 | 多余空行是风格项 | ### 保留项（均为 P3 观察项） | ID | 保留理由 | |---|---| | CC-04 | DFX 日志与下发值不一致是真实可观测性缺陷，有具体 file:line 和修复方案 | | CC-05 | DFX 日志遗漏变量是真实可观测性缺陷，有具体 file:line 和修复方案 | | CC-07 | 同类入口完整性观察，有具体 file:line，可操作 | | CC-08 | DFR 审计链断裂是真实功能影响，有具体触发路径和修复方案 | See merge request: openharmony/ability_ability_runtime!20276
1 天前
dataobsmgr
update Signed-off-by: zph000 <zhaopenghui8@huawei.com> Co-Authored-By: Agent
1 个月前
dialog_ui
!20362 merge version into master 版本更新 Created-by: wkljy Commit-by: wkljy Merged-by: openharmony_ci Description: [new](https://gitcode.com/openharmony/ability_ability_runtime/issues/16117) See merge request: openharmony/ability_ability_runtime!20362
1 天前
quickfixmgr
context质量加固 Co-Authored-By: RenGuojun Signed-off-by: 任国军 <renguojun1@h-partners.com> AI[0%] Human Fixed[0%] Human[100%] AI Adopted[0%]
14 天前
sa_profile
new process Signed-off-by: wendel <yuwenze1@huawei.com> Co-Authored-By: Agent Change-Id: Icd39e8a6fa7ada974eae4bcb080c851027e6ef9e
4 个月前
uripermmgr
perf(build): enable size_optimize_config on 130 SO targets Add a new services/common:size_optimize_config (same flags as optimize_config minus the explicit -flto=full, so the toolchain's global ThinLTO mode is preserved) and apply it to the 130 ohos_shared_library targets that previously shipped without any optimization config, so unreferenced functions/data are dropped at link time and ROM shrinks without overriding the global LTO policy. -Wl,--gc-sections is an ELF-only linker flag: Apple ld rejects it, so both optimize_config and size_optimize_config now add it only when current_os != "mac", keeping the darwin SDK host build (which links dylibs with -dead_strip) working. Co-Authored-By: Agent Signed-off-by: RuiChen_01 <chenrui193@huawei.com> AI[100%] Human Fixed[0%] Human[0%] AI Adopted[100%] Co-authored-by: claude (glm-5.3) <ai@local>
12 天前
BUILD.gn
Warn fix Co-Authored-By: Agent Signed-off-by: wangzhen <wangzhen416@huawei.com> 🤖‍ AI[3%] 👌 AI Adopted[3%] 🧑 Human[97%] Change-Id: Idfdecf1c59a96756280efed987fddab81239203b
2 个月前