关联的issue：

https://gitcode.com/openharmony/security_selinux_adapter/issues/5287

修改描述（修改功能描述，规格变更说明）：

策略合入自检

• 策略、注释不出现敏感词
• 不要继续往sepolicy/base下新增策略，策略放在sepolicy/ohos_policy下，按子系统/部件存放，没有请新增目录
• 如果涉及新增参数标签type ***, parameter_attr， 即type定义以parameter_attr结尾，需要与init责任田达成一致。参数规范详见：https://gitcode.com/openharmony/docs/blob/master/zh-cn/device-dev/subsystems/subsys-boot-init-sysparam.md
• neverallow管控请写在相应目录的public路径下，保证系统和芯片组件能同时管控
• 不允许应用访问的SA服务使用neverallow规则看护
• 系统参数应禁止三方应用配置
• 具有写和执行的文件目录应该使用neverallow管控
• bin二进制执行文件应该设置独立标签
• 确保debug模式相关功能权限使用debug_only隔离
• 确保开发者模式相关功能权限用developer_only隔离
• 如果涉及修改neverallow策略，需要通过安全评审
  • 每条neverallow语句中仅允许出现唯一的“-violator_xxx”和唯一的"-rgm_violater_xxx"
  • 每条attribte violator_xx需要新增对应的neverallow violoater_xxx xxx:xxx {xxx}（该策略不在本仓库）
• 如果涉及新增sh作为主体的权限allow sh b:c {xxx} 需经过DFX责任田和安全评审
• 如果涉及新增su作为主体的权限allow su b:c {xxx} 无需添加，默认放行；su作为客体，需增加debug_only宏
• 新增ioctl权限allow a b:c {ioctl}需跟进avc日志中答应的ioctl命令字增加对应的allowxperm规则来限制具体使用的接口。例如：allowxperm accessibility data_service_el1_file:file ioctl { 0x5413 };
  详见：https://gitcode.com/openharmony/docs/blob/master/zh-cn/device-dev/subsystems/subsys-security-selinux-checklist.md#涉及新增ioctl的selinux策略自检
• 如果涉及hap权限，确认hap范围，如果是对全部应用使用hap_domain，allow hap_doamin xxx:xx xx
  详见：https://gitcode.com/openharmony/docs/blob/master/zh-cn/device-dev/subsystems/subsys-security-selinux-checklist.md#涉及应用的selinux策略自检
• 不允许使用limit_domain\default_param\default_service\default_hdf_service默认标签

SELinux 策略提交自检报告

扫描范围：PR 8302（commit 7d94d8cbf，Revert "feat: extract lsof and netstat as standalone executables"），基线 5a1a1d311（master 合并基）。仅扫描 PR 实际变更的 revert
commit；PR 中其余 merge commit 为已合入 master 的内容，不属本 PR 引入。
diff 性质：删减策略/回退。全部 + 行均为 neverallow 语句移除 pc_only(-netstat')` 例外项后的收紧版本（− 行带例外，+ 行去掉例外），未新增任何
allow/allowxperm，未新增权限。基调：新增权限类规则多为 NA，核心看 neverallow 修改与产品宏使用。
涉及策略文件：12 个 新增规则行：31 条

┌─────┬───────────────────────────────────┬───────┬───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┐
│ 编 │ 自检项 │ 状态 │ 位置/依据（含策略原文） │
│ 号 │ │ │ │
├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ S1 │ 策略、注释不出现敏感词 │ PASS │ 脚本未命中任何品牌敏感词（android/google/aosp/huawei/harmonyos 等） │
├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ │ 策略不放 base、同一 MR │ │ sepolicy/base/{public,system}/ 下均为同一 hunk 内 −/+ 配对修改既有行（脚本标 [modifiable-exempt]），属回退既有 │
│ S2 │ 宜集中同目录 │ NA │ neverallow，非纯新增。S2-B 涉及 9 个 / 目录，但这是同一 revert 特性（统一移除 netstat │
│ │ │ │ 例外）的关联改动，无需拆分 │
├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ S3 │ 新增参数标签 parameter_attr │ NA │ diff 未新增 type xxx, parameter_attr; │
├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ S4 │ neverallow 落点（type 全 │ NA │ 脚本命中的 neverallow 均为既有行移除例外项，落点未变；multi-line/wrapped 与 already in public/ 为既有状态，revert │
│ │ public→public） │ │ 不改变落点。无新增 neverallow 需落点决策 │
├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ S5 │ SA 服务 neverallow 看护 │ NA │ 未新增 SA service 标签或 SA service 上的 allow │
├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ S6 │ 系统参数禁止三方应用配置 │ NA │ 未新增 parameter_service 上的 allow │
├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ S7 │ 写执行目录 neverallow 管控 │ NA │ 未新增写+执行文件标签 │
├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ S9 │ debug 功能 debug_only 隔离 │ NA │ 脚本列出的 debug_only(-softbus_server') 等均为既有宏位置（− 行），revert 未改变 debug_only 包裹范围；无新增 │ │ │ │ │ debug 权限 │ ├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤ │ S10 │ 开发者模式 developer_only 隔离 │ NA │ developer_only(\-hnp') 等为既有宏位置，revert 未改变其包裹范围 │
├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ │ 修改 neverallow/非flex白名单需安 │ WARNI │ 见下方需评审组——revert 修改了多条 neverallow（移除 pc_only(-netstat') 例外），需确认已有安全评审记录。S11a │ │ S11 │ 全评审/命名规范 │ NG │ 脚本列出的 dac_read_search neverallow 为既有行移除例外，未新增同种 violator 豁免，不构成多豁免违规；S11d 无 │ │ │ │ │ violator 命名问题 │ ├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤ │ S12 │ sh 主体权限需 DFX+安全评审 │ NA │ 未新增 allow sh ... │ ├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤ │ S13 │ su 主体放行/客体 debug_only │ NA │ 未涉及 su 主体/客体 │ ├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤ │ S15 │ hap 权限范围 │ NA │ 命中的 neverallow { domain -hap_domain ... } 为既有行移除 pc_only(\-netstat') 例外，未新增 hap allow；hap │
│ │ │ │ 例外范围未变 │
├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ S16 │ 禁用默认标签 │ NA │ 未使用 limit_domain/default_param/default_service/default_hdf_service │
├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ S17 │ allow/allowxperm 配 avc 日志注释 │ NA │ allow/allowxperm 新增行数 = 0；本 diff 为纯 neverallow 收紧，无新增 allow │
├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ S18 │ allow 落点 system/vendor、public │ NA │ 无新增 allow │
│ │ 不放 allow │ │ │
├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ S19 │ allow 块间空行分隔 │ NA │ 无新增 allow │
├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ S20 │ appdat 建议改用 normal_app_data │ NA │ 未涉及 appdat │
├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ S20 │ binder │ │ │
│ b │ 通信权限完整性（binder_call │ NA │ 未新增 binder call/transfer │
│ │ 宏建议） │ │ │
├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ S21 │ service_contexts 需 samgr │ NA │ 未修改 service_contexts │
│ │ 责任田评审 │ │ │
├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ S22 │ whitelist/flex *_whitelist.json │ NA │ 未修改 whitelist/flex │
│ │ 需 flex 专项评审 │ │ │
├─────┼───────────────────────────────────┼───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ │ pc_only/tablet_only/tablet_hybrid │ │ 脚本列出的 pc_only(-netstat')全部位于−行（被删除），且参数均以- 开头为合法例外项；revert │
│ S23 │ _only 仅作为例外项 │ PASS │ 移除这些例外属收紧，不引入产品宏违规。dev_encaps.te保留的pc_only(-claw_sandbox_loader')、tablet_hybrid_only(-cl │
│ │ │ │ aw_sandbox_loader')均为合法-` 例外项 │
└─────┴───────────────────────────────────┴───────┴───────────────────────────────────────────────────────────────────────────────────────────────────────────────────┘

ROM 增量估算

• 新增策略规则行（A）：31 条 × 100B（均为 neverallow 收紧后的等位替换行）
• 删减策略规则行（D）：31 条 × 100B（可抵消）
• access_vector 范围变更（M）：0 处 × 100B
• 预计 ROM 增量：(A − D + M) × 100B = 0 B（回退为等位替换，权限收紧不增 ROM）

必须修复（FAIL 违反，修复后才能合入）

无。本次回退未命中任何 NEVER 表硬违规：无 base/ 纯新增、无 public/ 下 allow、无 default 标签、无 su 客体未隔离、无产品宏包裹语句、无新增 allow 缺 #avc:。

建议修复（SUGGESTION 建议，提交者评估后决策）

无。S4 命中的 neverallow 落点均为既有状态，revert 不改变落点，无需迁移建议。

需评审决策（WARNING 需确认，结论回填后再合入）

• [S11] sepolicy/base/public/domain.te:157、sepolicy/base/system/system_domain.te:23 等：neverallow { domain develop_domain updater_only(-updater') } ~{ ... }（及其余 12
  处 neverallow，均移除 pc_only(-netstat') 例外）→ 安全评审确认。本次回退修改了多条 neverallow 的例外集合（移除 netstat 域在 PC
  形态下的豁免），属收紧性变更，需确认已有对应安全评审记录（Issue:
  gitcode.com/openharmony/security_selinux_adapter/issues/5287）。回退本身收紧了看护、未放宽权限，评审风险较低，但 neverallow 变更按规需留评审记录。

◆ 验证结论总结：

PR 8302 是对 "extract lsof and netstat as standalone executables" 特性的回退，核心动作是从 12 个文件的 31 处 neverallow 中移除 pc_only(-netstat')` 例外项，收紧策略看护。

• 无 FAIL 项：未命中任何硬违规（无 base 纯新增、无 public 下 allow、无 default 标签、无产品宏包裹、无新增 allow 缺 avc 注释）。
• 无 SUGGESTION 项。
• 1 项 WARNING（S11）：neverallow 修改需安全评审记录确认——但本回退属收紧性变更（移除例外而非放宽），风险低，确认 Issue #5287 评审记录即可。
• ROM 增量 = 0 B（等位替换）。

整体可安全合入。