Pull Request已成功合入, 合并人@openharmony_ci
（感谢 yuzhouhang1 的贡献）
感谢提交 Pull Requests！如果您提交的PR已经开发完毕，请评论 "start build" 触发门禁，更多交互操作，请访问OpenHarmony社区支持命令清单。如果需要调整订阅PR、Issue的变更状态，请访问订阅链接。
Thanks for submitting the pull request. If your Pull Request has already been developed, you can leave a "start build" comment to trigger the gated system. For more commands, please visit OpenHarmony Command List. If you need to change the subscription of a Pull Request or Issue, please visit the link.
start build
SELinux 策略提交自检扫描报告
扫描工具：ohos-dev-seharmony-policy-review v2.2.0（Part 1 scan.py 自动检查 + Part 2 语义分析，绑定 PR head 目标树）
扫描对象：本 PR 当前 head 净 diff（sepolicy/ohos_policy/web/webview/system/isolated_render.te：+1 空行、+1 avc 注释、+1 allow）
diff 性质：新增权限（单条 allow）
涉及策略文件：1 个 新增规则行：1 条
逐项判定结果
| 编号 | 自检项 | 状态 | 依据 |
|---|---|---|---|
| S1 | 策略、注释不出现敏感词 | PASS | path="/storage/Users/currentUser/appdata/appdata/el2/xxx/xxx.mhtml" 已匿名化，品牌词清零 |
| S2 | 策略不放 base、同一 MR 宜集中同目录 | PASS | 仅涉及 ohos_policy/web/webview 单目录，无 base/ 变更 |
| S3 | 新增参数标签 parameter_attr | NA | 未涉及 |
| S4 | neverallow 落点 | NA | 净 diff 无 neverallow 变更 |
| S5 | SA 服务 neverallow 看护 | NA | 未涉及 |
| S6 | 系统参数禁止三方应用配置 | NA | 未涉及 |
| S7 | 写执行目录 neverallow 管控 | PASS | 非新增标签（sharefs_appdata_bundle_file 既有定义于 kernel/linux/system/type.te:18），本次授予不含 execute/open，不构成 write+execute 组合 |
| S9/S10 | debug_only / developer_only 隔离 | NA | 未涉及 |
| S11 | 修改 neverallow/非flex白名单需安全评审 | NA | 净 diff 无 neverallow 变更，无需安全评审记录 |
| S12 | sh 主体权限需 DFX+安全评审 | NA | 未涉及 |
| S13 | su 主体放行/客体 debug_only | NA | 未涉及 |
| S15 | hap 权限范围 | NA | 主体为 isolated_render，非 hap 域 |
| S16 | 禁用默认标签 | NA | 未使用 |
| S17 | allow/allowxperm 配 avc 日志注释 | PASS | 1 allow : 1 #avc: 配对成立；scontext/tcontext/tclass/permissive 关键字段齐全，可溯源 |
| S18 | allow 落点 system/vendor、public 不放 allow | PASS | isolated_render 为系统部件进程（nwebspawn 派生渲染进程），allow 位于 web/webview/system/，落点正确 |
| S19 | allow 块间空行分隔 | PASS | 新 allow 块与前块之间有空行 + 注释分隔 |
| S20/S20b | appdat / binder_call 宏建议 | NA | 未涉及 |
| S21/S22 | service_contexts / whitelist 变更 | NA | 未涉及 |
| S23 | 产品宏仅作例外项 | NA | 未使用产品宏 |
ROM 增量估算
- 新增策略规则行（A）：1 条 × 100B；删减（D）：0；access_vector 变更（M）：0
- 预计 ROM 增量 = +100 B
处置项
- 必须修复（FAIL）：无
- 建议修复（SUGGESTION）：无
- 需评审决策（WARNING）：无
结论：扫描全部通过，无阻塞项，策略侧可合入。（CI 编译以流水线实际结果为准；当前 diff 不含 neverallow，无与基础策略 allow domain { fs_attr -unlabeled }:dir getattr 的冲突风险。）
本地或库上代码有更新,全量重新构建,重置所有关联PR的验证状态
门禁构建开始,包含静态检查、代码编译和测试【hap_build编译, master_inner_build编译, dayu600_7885编译, dayu200_tdd编译, dayu200编译, dayu200测试, x86_64_virt编译, ohos-host_mini_tdd编译, dayu600_7885测试】,预计在60分钟内完成,门禁结果会同步发送到注册邮箱。您可以通过如下链接跟踪门禁进展:http://dcp.openharmony.cn/workbench/cicd/detail/6ab4cc4e64650f998bc58d37/runlist
代码门禁未通过
您可以通过如下链接查看门禁报告:http://dcp.openharmony.cn/workbench/cicd/detail/6ab4cc4e64650f998bc58d37/runlist
静态检查:
| # | check type | result | report |
|---|---|---|---|
| 1 | codeCheck | pass | >>> |
编译测试:
| # | Device | build result | test result | package |
|---|---|---|---|---|
| 1 | dayu200 | success | success | >>> |
| 2 | dayu200_tdd | success | NA | >>> |
| 3 | hap_build | success | NA | >>> |
| 4 | master_inner_build | failed(代码同步失败) | NA | >>> |
| 5 | ohos-host_mini_tdd | success | NA | >>> |
| 6 | dayu600_7885 | success | success | >>> |
| 7 | x86_64_virt | success | NA | >>> |
start build
部分构建失败,仅触发失败构建
门禁构建开始,包含代码编译【master_inner_build编译】,预计在60分钟内完成,门禁结果会同步发送到注册邮箱。您可以通过如下链接跟踪门禁进展:http://dcp.openharmony.cn/workbench/cicd/detail/6ab4e6bd64650f998bd20ca3/runlist
代码门禁未通过
您可以通过如下链接查看门禁报告:http://dcp.openharmony.cn/workbench/cicd/detail/6ab4e6bd64650f998bd20ca3/runlist
| # | Device | build result | package |
|---|---|---|---|
| 1 | master_inner_build | failed(代码同步失败) | >>> |
submit
start build
本地或库上代码有更新,全量重新构建,重置所有关联PR的验证状态
门禁构建开始,包含静态检查、代码编译和测试【master_inner_build编译, ohos-host_mini_tdd编译, dayu200编译, dayu600_7885编译, dayu200_tdd编译, x86_64_virt编译, dayu200测试, hap_build编译】,预计在60分钟内完成,门禁结果会同步发送到注册邮箱。您可以通过如下链接跟踪门禁进展:http://dcp.openharmony.cn/workbench/cicd/detail/6abc69ff64650f998bf7e815/runlist
代码门禁未通过
您可以通过如下链接查看门禁报告:http://dcp.openharmony.cn/workbench/cicd/detail/6abc69ff64650f998bf7e815/runlist
静态检查:
| # | check type | result | report |
|---|---|---|---|
| 1 | codeCheck | pass | >>> |
编译测试:
| # | Device | build result | test result | package |
|---|---|---|---|---|
| 1 | dayu200 | success | success | >>> |
| 2 | dayu200_tdd | success | NA | >>> |
| 3 | hap_build | success | NA | >>> |
| 4 | master_inner_build | failed(代码同步失败) | NA | >>> |
| 5 | ohos-host_mini_tdd | success | NA | >>> |
| 6 | dayu600_7885 | success | NA | >>> |
| 7 | x86_64_virt | success | NA | >>> |
关联的issue：
https://gitcode.com/openharmony/security_selinux_adapter/issues/5277
修改描述（修改功能描述，规格变更说明）：
在
sepolicy/ohos_policy/web/webview/system/isolated_render.te中为 isolated_render 域新增 sharefs_appdata_bundle_file 访问规则：allow isolated_render sharefs_appdata_bundle_file:file { read write getattr append };即：禁止 isolated_render 打开 sharefs_appdata_bundle_file 文件、禁止其对相应目录的一切访问，仅允许文件级 read/write/getattr/append 操作。
策略合入自检