Linux fanotify 权限事件的允许与拒绝处理方案

我第一次把 Linux 文件访问控制从“事后记录”改成“访问前判断”时，最容易混淆的是 fanotify 的两类事件：普通通知只告诉你某个对象发生了访问，权限事件则要求用户态明确回复。要实现允许或拒绝，核心组合是 fanotify_init()、fanotify_mark()、读取事件，以及向同一个文件描述符写回 FAN_ALLOW 或 FAN_DENY。

最小可行方案是：用 FAN_CLASS_CONTENT 创建权限决策组，用 FAN_OPEN_PERM 或 FAN_ACCESS_PERM 标记目标，再为每个权限事件写回一次响应。拒绝访问时，请求方通常收到 EPERM。

权限事件和普通通知不是一回事

FAN_OPEN、FAN_ACCESS 适合记录“发生过什么”；FAN_OPEN_PERM 和 FAN_ACCESS_PERM 则会把请求挂起，等待监听程序写回决定。前者可以做审计，后者才适合做访问门禁。

选择掩码时先按业务动作收窄：只想拦截打开动作就用 FAN_OPEN_PERM，需要在读取前判断则加入 FAN_ACCESS_PERM。不要把所有事件位一次性打开，否则策略线程会被无关通知淹没。

创建权限组并绑定需要判断的范围

权限事件要求初始化时选择内容类通知组。下面是一个缩减后的 C 结构示例，重点是参数关系，未把它包装成可直接运行的守护进程：

#include 
#include 

// 权限事件需要 CONTENT 或 PRE_CONTENT 类，不能使用普通 NOTIF 类。
int fan_fd = fanotify_init(FAN_CLASS_CONTENT | FAN_NONBLOCK,
                           O_RDONLY | O_CLOEXEC);
if (fan_fd == -1) {
    // 初始化失败时应记录 errno，并检查内核配置与进程能力。
    return 1;
}

// 只把目标目录加入权限监听范围，减少策略线程的无关请求。
unsigned long long mask = FAN_OPEN_PERM | FAN_ACCESS_PERM;
if (fanotify_mark(fan_fd, FAN_MARK_ADD | FAN_MARK_ONLYDIR,
                  mask, AT_FDCWD, "/srv/protected") == -1) {
    // 标记失败通常与权限、标记范围或不支持的组合有关。
    return 1;
}

示例中的 FAN_MARK_ONLYDIR 是范围约束，不等于递归开关。fanotify 的目录标记、挂载标记和子对象事件要按目标场景分别设计；需要覆盖子目录时，不能仅凭一个“监听目录”描述就假设所有内层路径都会自动递归。

读取事件后只写回一次决定

读到 fanotify_event_metadata 后，先检查版本和事件长度，再根据 mask 判断是打开还是读取请求。权限事件中的 fd 是响应结构要使用的对象描述符，策略可以依据路径、进程身份或规则表做判断。

struct fanotify_response response = {0};

// 伪代码只展示静态决策关系，不代表已经在本机执行。
if (metadata->mask & (FAN_OPEN_PERM | FAN_ACCESS_PERM)) {
    response.fd = metadata->fd;
    // 示例策略：受保护目录默认拒绝，白名单对象才允许。
    response.response = is_allowed(metadata) ? FAN_ALLOW : FAN_DENY;
    // 每个权限事件只写回一次，重复响应可能返回 ENOENT。
    if (write(fan_fd, &response, sizeof(response)) != sizeof(response)) {
        // 写回失败时记录 errno，不能把请求默认为已放行。
        log_permission_error(errno);
    }
}

拒绝并不是“删除文件”或“终止进程”，它只改变这次访问系统调用的结果。策略线程若长时间不响应，请求方会被拖住；因此规则匹配应尽量确定，复杂扫描可以拆成预处理缓存，而不是把所有工作塞进权限事件路径。

上线前检查权限、范围和队列边界

还要给事件循环设置可观测性：记录事件掩码、目标对象、决策耗时和写回错误。队列溢出、权限不足、文件描述符失效，都应该进入单独的降级策略。安全场景中，默认放行还是默认拒绝不是 API 决定的，而是业务对可用性和保护强度的取舍。

常见问题

FAN_OPEN_PERM 和 FAN_ACCESS_PERM 能同时使用吗？

可以，但两者拦截的动作不同。先按实际控制点选择，避免同一对象产生过多策略请求。

为什么写回响应后仍然访问失败？

先区分响应是否为 FAN_DENY、fd 是否已经失效，以及规则判断是否把该对象拒绝；重复写回同一权限事件也可能返回 ENOENT。

fanotify 能替代所有文件审计需求吗？

不能。它适合文件访问通知和部分访问前决策；递归覆盖、远程文件系统、队列压力和审计留痕都要单独评估。

参考入口：https://man7.org/linux/man-pages/man7/fanotify.7.html、https://man7.org/linux/man-pages/man2/fanotify_mark.2.html。