26、SELinux策略性能优化：策略规则数量对性能的影响，策略缓存优化，策略查找效率提升。

说到SELinux，很多人第一反应是「安全」，第二反应就是「慢」。嗯，这个印象其实有道理，也不全对。我在早期做系统启动优化的时候，就踩过这个坑——策略加载慢、查找慢，甚至影响到开机速度。今天我们就来聊聊，怎么在保证安全的前提下，把SELinux的性能提上去。

策略规则数量：不是越多越好

先问一个问题：策略规则多了，到底会慢多少？

我直接说结论：规则数量和性能之间，不是线性关系，而是接近指数关系。你想想看，每次访问一个文件，SELinux都要遍历规则列表，找到匹配的那一条。规则越多，遍历时间越长。

我在项目中遇到过这样一个案例：某款手机开机时，SELinux策略加载花了将近3秒。一查，策略文件里竟然有超过8万条规则。后来我们精简到4万条，加载时间直接降到1.2秒。说白了，很多规则是冗余的，或者根本用不到。

策略缓存优化：别让CPU白干活

SELinux的访问决策缓存（AVC，Access Vector Cache）是性能的关键。它的工作原理很简单：第一次访问某个对象时，做一次完整的策略查找，然后把结果缓存起来。后续同样的访问，直接命中缓存，速度极快。

但这里有个问题——缓存大小和淘汰策略。默认的AVC缓存大小是512个条目，对于大多数场景够用。但如果你的系统里有很多不同的安全上下文组合，缓存就会频繁失效。

来看一个实际调优的例子：

# 查看当前AVC缓存状态
cat /sys/fs/selinux/avc/cache_stats

# 输出示例：
# lookups: 1234567  hits: 1200000  misses: 34567  allocations: 34567
# reclaims: 0  failures: 0

# 如果misses比例过高（比如超过5%），说明缓存太小
# 可以通过内核参数调整
echo 1024 > /sys/fs/selinux/avc/cache_threshold

我曾经在一个多媒体播放器项目里，发现每次播放新格式的视频都会触发策略查找，导致播放启动延迟。后来把AVC缓存从512调到2048，问题就解决了。嗯，有时候就是这么简单。

策略查找效率：从O(n)到O(1)的追求

SELinux的策略查找，本质上是一个模式匹配问题。传统的线性查找，复杂度是O(n)，n是规则数量。当n达到几万甚至几十万时，性能就扛不住了。

好在SELinux内部用了多种优化手段：

• 哈希表索引：根据安全上下文对规则进行哈希，查找时直接定位到桶，复杂度接近O(1)
• 规则排序：最常用的规则排在前面，减少遍历次数
• 条件编译：编译策略时，把条件语句（如if）展开成具体规则，避免运行时判断

但要注意，这些优化不是万能的。我见过一个极端案例：某厂商在策略里用了大量通配符（*），导致哈希索引失效，查找又退化成线性扫描。结果就是，每次文件操作都慢几十微秒，累积起来系统响应明显变差。

实战：如何测量和优化策略性能

光说不练假把式。我们来看看具体怎么做。

第一步：测量基线

用time命令测量策略加载时间：

# 测量策略加载时间
time load_policy /path/to/sepolicy

# 输出示例：
# real    0m0.234s
# user    0m0.001s
# sys     0m0.233s

第二步：分析规则分布

用sepolicy工具分析规则数量：

# 统计规则总数
sepolicy stats /path/to/sepolicy

# 输出示例：
# Total allow rules: 45231
# Total auditallow rules: 1234
# Total neverallow rules: 567
# Total type_transition rules: 890

第三步：定位热点规则

用perf或trace工具抓取SELinux的查找热点：

# 使用trace抓取SELinux相关事件
trace -b 8192 -e 'selinux:*' -o selinux_trace.txt

# 分析热点
grep "selinux_avc_lookup" selinux_trace.txt | sort | uniq -c | sort -nr | head -20

我在一个项目里，通过这个方式发现system_app域有超过5000条规则，其中大部分是重复的。合并之后，规则数降到2000，性能提升明显。

SVG：SELinux策略性能优化全景图

总结一下

SELinux策略性能优化，说白了就是三件事：

1. 规则数量要精简——别写没用的规则，合并重复的，避免通配符
2. 缓存要调好——AVC缓存大小和命中率是关键，定期监控
3. 查找效率要优化——利用哈希索引和规则排序，避免线性扫描

我在多个项目里实践过，这些方法加起来，能让SELinux的性能提升30%-50%。而且，这些优化不会牺牲安全性——你只是让系统更聪明地工作，而不是更少地工作。

好了，关于SELinux策略性能优化，就聊到这里。记住：安全性和性能不是对立的，关键是要找到平衡点。