framework层和native层实现联网控制（iptable方式）

最近工做中，须要开发一个功能----联网控制，这个功能其实用过root的安卓机应该都知道，禁止某个应用链接移动网络或者wifi。

root后，经过su去执行iptable的命令就能够根据uid去控制应用联网权限

可是因为公司是作手机系统开发，手机生产出来不容许带有root权限，因此咱们完成这个功能也是不可使用root权限去实现的。

因为第一次作这种功能，刚开始我竟然天真的觉得系统中带有这种控制权限的接口，而后只有个Internet权限，没法区分数据流量和wifi。

嗯，直接上最终实现的方式。

当时发现手机上有个功能是限制应用后台数据流量，该功能如其所述就是限制应用在后台状态下没法使用流量。经过代码追溯，找到其调用到的是一个 NetworkManagementService.java 这个Service，方法就是下面这个，里面的mConnector就是用来封装发送命令的类。有兴趣的能够本身去看一下 ---> NativeDaemonConnector.java

 

    @Override    public void setUidNetworkRules(int uid, boolean rejectOnQuotaInterfaces) {
        mContext.enforceCallingOrSelfPermission(CONNECTIVITY_INTERNAL, TAG);        // silently discard when control disabled        // TODO: eventually migrate to be always enabled
        if (!mBandwidthControlEnabled) return;        synchronized (mQuotaLock) {            final boolean oldRejectOnQuota = mUidRejectOnQuota.get(uid, false);            if (oldRejectOnQuota == rejectOnQuotaInterfaces) {                // TODO: eventually consider throwing
                return;
            }            try {
                mConnector.execute("bandwidth",
                        rejectOnQuotaInterfaces ? "addnaughtyapps" : "removenaughtyapps", uid);                if (rejectOnQuotaInterfaces) {
                    mUidRejectOnQuota.put(uid, true);
                } else {
                    mUidRejectOnQuota.delete(uid);
                }
            } catch (NativeDaemonConnectorException e) {                throw e.rethrowAsParcelableException();
            }
        }
    }

 

经过搜索addnaughtyapps这个关键字，在 CommandListener.cpp 这个类中找到了解析这个命令的地方，

   if (!strcmp(argv[1], "addnaughtyapps") || !strcmp(argv[1], "ana")) {        if (argc < 3) {
            sendGenericSyntaxError(cli, "addnaughtyapps <appUid> ...");            return 0;
        }        int rc = sBandwidthCtrl->addNaughtyApps(argc - 2, argv + 2);
        sendGenericOkFail(cli, rc);        return 0;
    }

最终在BandwidthController.cpp这个类中执行操做iptable的命令，

Ok，既然这个Service拥有直接执行iptable的权限，那么咱们就直接在里面添加咱们须要的方法不就OK了吗。

 

所以，

1. 在CommandListener.cpp 中加入过滤关键字的判断，

2. 在NetworkManagementService.java中加入接口去发送命令，

3. 最终实如今BandwidthController.cpp 中进行。

第三步主要就是iptable的操做了，如何使用网上不少，不过当时我还真是看了很久才弄懂iptable的操做......用到的主要就是 -I 和 -D 命令。

其实比起这些，我更好奇netd 进程是如何拥有执行root命令的权限的。等有空了必定要研究下。

目前只知道在init.rc中能够配置以root权限去启动service。