关联的issue：[#5285]

修改描述（修改功能描述，规格变更说明）：

print_isolate_hap增加应用目录rename权限

策略合入自检

• 策略、注释不出现敏感词
• 不要继续往sepolicy/base下新增策略，策略放在sepolicy/ohos_policy下，按子系统/部件存放，没有请新增目录
• 如果涉及新增参数标签type ***, parameter_attr， 即type定义以parameter_attr结尾，需要与init责任田达成一致。参数规范详见：https://gitcode.com/openharmony/docs/blob/master/zh-cn/device-dev/subsystems/subsys-boot-init-sysparam.md
• neverallow管控请写在相应目录的public路径下，保证系统和芯片组件能同时管控
• 不允许应用访问的SA服务使用neverallow规则看护
• 系统参数应禁止三方应用配置
• 具有写和执行的文件目录应该使用neverallow管控
• bin二进制执行文件应该设置独立标签
• 确保debug模式相关功能权限使用debug_only隔离
• 确保开发者模式相关功能权限用developer_only隔离
• 如果涉及修改neverallow策略，需要通过安全评审
  • 每条neverallow语句中仅允许出现唯一的“-violator_xxx”和唯一的"-rgm_violater_xxx"
  • 每条attribte violator_xx需要新增对应的neverallow violoater_xxx xxx:xxx {xxx}（该策略不在本仓库）
• 如果涉及新增sh作为主体的权限allow sh b:c {xxx} 需经过DFX责任田和安全评审
• 如果涉及新增su作为主体的权限allow su b:c {xxx} 无需添加，默认放行；su作为客体，需增加debug_only宏
• 新增ioctl权限allow a b:c {ioctl}需跟进avc日志中答应的ioctl命令字增加对应的allowxperm规则来限制具体使用的接口。例如：allowxperm accessibility data_service_el1_file:file ioctl { 0x5413 };
  详见：https://gitcode.com/openharmony/docs/blob/master/zh-cn/device-dev/subsystems/subsys-security-selinux-checklist.md#涉及新增ioctl的selinux策略自检
• 如果涉及hap权限，确认hap范围，如果是对全部应用使用hap_domain，allow hap_doamin xxx:xx xx
  详见：https://gitcode.com/openharmony/docs/blob/master/zh-cn/device-dev/subsystems/subsys-security-selinux-checklist.md#涉及应用的selinux策略自检
• 不允许使用limit_domain\default_param\default_service\default_hdf_service默认标签

SELinux 策略提交自检报告（2026-09-30）

扫描范围：PR #8300 的完整策略净差异，基线为 ef559e41b77c252dd467bfc57e9b0abd19aaae38，检视提交为 47a86aa288441513afb807a0ece7048145d75686。

diff 性质：新增权限。仅新增独立 rename 规则、脱敏 AVC 注释及前后空行；既有目录、文件授权规则保持不变。

涉及策略文件：1 个 新增规则行：1 条

调用技能：ohos-dev-seharmony-policy-review，版本 2.2.0；技能来源提交为 8b23c3560b8143f3cd74ee15a6f10b98ec85d9f4。运行技能的 scripts/scan.py ef559e41b77c252dd467bfc57e9b0abd19aaae38..47a86aa288441513afb807a0ece7048145d75686，退出码 0，并完成语义核对。

结论：没有 FAIL 或 SUGGESTION；保留 1 项 S15 WARNING，需责任田确认授权范围。以下行号均对应 sepolicy/ohos_policy/print/print_service/system/print_isolate_hap.te。

AVC 依据与脱敏说明

# avc: denied { rename } for pid=11866, comm="/system/bin/appspawn" name="/app/el2/100/base/<redacted-package>/haps/entry/temp" dev="/dev/block/platform/b0000000.hi_pcie/by-name/userdata" ino=110889 scontext=u:r:print_isolate_hap:s0 tcontext=u:object_r:appdat:s0 tclass=dir permissive=0
allow print_isolate_hap normal_app_data:dir { rename };

完整包名替换为 <redacted-package>，保留目录结构及 AVC 的权限、主体、客体、对象类别、permissive 和其余日志字段。# avc: 与 #avc: 均受技能支持。

ROM 增量估算

• 新增策略规则行（A）：1 条 × 100B
• 删减策略规则行（D）：0 条 × 100B
• access_vector 范围变更（M）：0 处 × 100B
• 预计 ROM 增量：(A − D + M) × 100B = 100 B

该结果是技能按源码行计算的估算，不是镜像测量。

需评审决策（WARNING 需确认，结论回填后再合入）

• [S15] 第 29 行：allow print_isolate_hap normal_app_data:dir { rename }; → 打印/应用安全责任田确认范围。sepolicy/base/public/glb_scontext.te:14 中宏展开为 { normal_hap_data_file appdat }，因此仅对这两个类型新增目录 rename。AVC 直接证明 appdat 的拒绝场景，另一类型由宏及策略一致性要求覆盖，不应描述为已有该类型的实测 AVC。本地根目录及 sepolicy/AGENTS.md 要求应用策略使用属性，而技能 S15 允许应用子集使用具体类型；需确认打印隔离主体的适用约定，不能自行将授权扩大到全部应用。

验证边界

git diff --check 通过；技能扫描及新增规则的 AVC 对应、宏展开、空行分隔均已核对。既有权限规则未修改。此前技能自身的空差异回归用例失败：用例实际残留类型文件移动；本次扫描输入为已核对的非空 PR 差异，该自检失败不能表述为全部技能回归通过。

本次检视未执行完整 OpenHarmony 策略编译或设备测试，不据此声称 CI、编译后的全部 neverallow 校验或设备验证已通过。门禁结果应以对应提交的实际检查结果为准。