feat(sandbox): 按句柄授予包访问权限并验证容器隔离

2026-09-08 22:40:07 +08:00
parent dca0c7bff4
commit 627e4552d5
2 changed files with 236 additions and 2 deletions
@@ -330,3 +330,13 @@ Core 的独立数据目录目前不等于已授权 Vault。Python 旧笔记写
 - 空环境及仅 SystemRoot 的启动尝试返回 Windows 203；使用明确的 SystemRoot 和指向容器自身目录的 LOCALAPPDATA/TEMP/TMP 后通过。此处是测试启动环境，不是完整生产环境/参数构造器。
 - 两项 AppContainer 原生测试与全目标 Clippy -D warnings 通过，日志 `.build/extension-container-tests.log`。API 依据 Microsoft CreateAppContainerProfile / DeleteAppContainerProfile / Launch an AppContainer 文档。所有测试创建的配置通过所属对象清理，未借用既有用户配置。
 - 生产启动器、包只读 ACL、独立 scratch 配额、原始网络拒绝实测、文件与网络 broker、崩溃后孤立配置清理以及恶意程序矩阵仍待完成。当前不声明完整沙箱，也未开启 extensions capability。
+
+
+## 增量：按句柄授予 AppContainer 包只读执行权限
+
+- Profile 新增 grant_package_read_execute，只对 Host 已打开并验证的单个文件或目录增加该实例 SID 的读取/执行 ACE，不启用子项继承。通过 GetSecurityInfo / SetEntriesInAclW / SetSecurityInfo 操作同一对象句柄，分配的安全描述符与 ACL 由 RAII 释放；拒绝重解析对象、硬链接、空 DACL 和权限不足的句柄。调用方仍须按句柄验证整个包并在启动期间持有这些句柄，不接受 renderer 任意路径。
+- 关闭 ACL 继承是为了避免 OS 自动向未检查子项传播授权；每个包目录和文件必须逐项验证和授权。该原语只增加权限，不会清除预先存在的宽泛 ACL，也尚未接入生产启动器，因此不构成对恶意并发替换或任意现有目录的完整安全证明。
+- 4 项真实 Windows AppContainer 测试通过：指定文件授权前无法读取，仅授权目录仍不能读取子文件，文件单独授权后读取成功；相邻未授权文件和另一实例仍被拒绝；新建文件、覆盖包文件失败，原内容保持不变；硬链接与只读句柄不能用于授权。每次试验均先以零能力挂起创建，检查精确容器 SID，加入 Job 后再执行受控测试命令。
+- 首轮使用 type 输出到 nul 的测试返回非零，改用 set /p 从文件重定向读取后验证成功；没有改变生产权限掩码来迁就该测试。系统 cmd.exe 仅用于这些固定测试命令，生产扩展入口仍禁止 shell 拼接。
+- API 依据 [Microsoft SetSecurityInfo 文档](https://learn.microsoft.com/en-us/windows/win32/api/aclapi/nf-aclapi-setsecurityinfo)。当前未完成生产启动器、包树授权编排、scratch 配额、网络/文件 broker 和恶意程序矩阵；extensions capability 仍关闭，整体生产化目标继续进行。
+- 本轮完整回归：cargo test --features desktop 共 98 项通过、5 项 ignored；其中 4 项为父测试实际驱动的 Job/Sync 辅助进程入口，另一项是需要单独执行的打包 Core 20 次冷启动，本轮没有重跑该项。真实 Core/Stronghold、笔记桥接、凭据所有权和 Sync 中断恢复集成全部通过。前端全量 101 个文件、525 项通过；Rust 全目标 Clippy -D warnings 通过。日志分别为 `.build/host-production-full-tests.log`、`.build/frontend-production-full-tests.log`、`.build/host-production-clippy.log`。全库 diff 检查提示用户 Vault 文件已有尾部空行，未修改用户内容；本次代码与文档单独检查通过。