2. 应用沙箱机制：应用沙箱隔离原理、沙箱目录映射规则、文件访问权限控制
好，咱们进入第二个核心话题——应用沙箱。说实话，这个机制是鸿蒙安全体系的基石之一。我经常跟团队里的小伙伴说，不理解沙箱，你就没法真正理解鸿蒙的权限管理。
2.1 应用沙箱隔离原理
沙箱是什么？说白了，就是给每个应用造一个“独立小房间”。应用在里面怎么折腾都行，但别想跑到隔壁房间去捣乱。
鸿蒙的沙箱基于内核级隔离技术。每个应用进程都有自己的UID和GID，系统通过Linux内核的命名空间（Namespace）机制，把进程、文件系统、网络等资源隔离开来。你想想看，一个恶意应用就算被攻破了，它也只能在自己的沙箱里蹦跶，动不了系统和其他应用。
核心隔离维度：
- 进程隔离：每个应用运行在独立进程中，无法直接访问其他进程的内存
- 文件系统隔离：应用只能访问自己的沙箱目录，无法读取其他应用的数据
- 网络隔离：默认情况下，应用无法监听端口或进行网络嗅探
- IPC隔离：跨进程通信必须经过系统服务代理，不能直接调用
我记得在早期版本中，有个开发者试图通过共享内存方式在两个应用间传数据，结果发现根本行不通——沙箱机制直接拦截了这种操作。嗯，这才是正确的安全姿势。
2.2 沙箱目录映射规则
每个应用安装后，系统会为它创建一套专属目录结构。这个映射规则，我建议你把它记牢了，因为开发时经常要用到。
应用看到的文件系统，其实是一个“虚拟视图”。真实路径被隐藏了，应用只能看到自己的沙箱路径。举个例子：
// 应用视角的路径
/data/storage/el1/base/
/data/storage/el2/base/
// 实际物理路径（应用不可见）
/data/app/el1/com.example.app/
/data/app/el2/com.example.app/这里有个关键概念——EL（Encryption Level）。EL1和EL2代表不同的加密层级：
| 目录 | 加密级别 | 用途 | 解锁条件 |
|---|---|---|---|
| /data/storage/el1/base/ | 设备级加密 | 系统配置、缓存文件 | 设备启动即可访问 |
| /data/storage/el2/base/ | 用户级加密 | 用户数据、应用私有文件 | 用户解锁屏幕后 |
| /data/storage/el2/distributed/ | 分布式加密 | 跨设备同步数据 | 用户登录华为账号后 |
为什么会这样设计？我个人的理解是：EL1存的是“丢了也不心疼”的数据，比如临时缓存；EL2存的是“丢了就完蛋”的用户隐私数据。你想想看，如果手机被盗，只要锁屏密码够强，EL2的数据就安全了。
避坑指南：我曾经遇到一个案例，开发者把用户登录Token存到了EL1目录下。结果手机重启后，Token还在，但用户以为已经退出登录了——这就造成了安全隐患。记住：敏感数据一定要放EL2。
2.3 文件访问权限控制
沙箱内部的权限控制，比你想的要精细得多。鸿蒙采用了“最小权限原则”——应用默认没有任何文件访问权限，需要主动申请。
具体来说，文件权限分为三个层级：
- 应用私有目录：完全控制，无需申请权限
- 应用共享目录：需要申请
ohos.permission.READ_MEDIA等权限 - 系统公共目录：需要申请
ohos.permission.READ_EXTERNAL_STORAGE等权限
代码层面，鸿蒙提供了统一的文件访问接口。我建议你使用fileIo模块，而不是直接操作路径：
import fileIo from '@ohos.file.fs';
// 正确做法：通过沙箱路径访问
let context = getContext(this);
let sandboxPath = context.filesDir + '/myfile.txt';
let file = fileIo.openSync(sandboxPath, fileIo.OpenMode.READ_WRITE);
// 错误做法：直接写绝对路径
// let file = fileIo.openSync('/data/app/myfile.txt'); // 会报错！这里有个容易踩的坑——路径遍历攻击。有些开发者会拼接用户输入的路径，比如：
// 危险代码！
let userInput = '../../system/config.xml';
let fullPath = sandboxPath + '/' + userInput;嗯，这种写法我见过太多次了。攻击者可以通过../跳出沙箱目录。正确的做法是使用path模块做路径规范化：
import path from '@ohos.file.path';
let safePath = path.normalize(sandboxPath + '/' + userInput);
// 检查是否还在沙箱内
if (!safePath.startsWith(sandboxPath)) {
throw new Error('路径越界！');
}重要提醒：鸿蒙从API 9开始，对文件访问权限做了更严格的限制。如果你在开发中遇到Permission denied错误，先检查一下是不是忘了在module.json5里声明权限。我曾经排查过一个Bug，折腾了两小时，最后发现就是少写了一行权限声明——这种低级错误，咱们还是别犯了。
最后总结一下我的经验：沙箱机制不是束缚，而是保护。它保护了用户的数据安全，也保护了开发者自己——万一你的应用出了漏洞，沙箱能帮你把损失降到最低。记住一句话：永远假设你的应用会被攻破，然后设计好沙箱防线。