selint
Herramienta de análisis estático de código para las políticas de SELinux [.te, .if, .fc, etc]. Realiza diversas comprobaciones, desde definiciones incorrectas de contexto de archivo hasta entradas obligatorias faltantes o superfluas en las interfaces, pasando por infracciones de la guía de estilo refpolicy.
$ selint --summary-only mi_modulo.te
analizar un archivo solo mostrando el resumen sin detalles individuales
$ selint -r -s /ruta/al/policy/
analizar recursivamente un árbol de políticas en modo "source" para repositorios completos de política que se compilan
$ selint -l W -r -s policy/
solo errores y warnings graves. Opciones -l: C=convention, S=style, W=warning, E=error, F=fatal
$ selint -r -s -S -F policy/
mostrando un resumen al final y sale con código de error distinto de cero si encuentra problemas
$ selint -d W-010 mi_modulo.te
ignorar un check específico
$ selint --context=/usr/share/selinux/devel/ mi_modulo.te
analizar con contexto adicional cuando un módulo depende de otros
Algunos checks comunes, existen decenas E-00X, W-00X ...
E-005 --> Tipo inexistente en archivo .fc.
W-010 --> Llamada a interfaz desconocida.
S-001 --> Uso de require en vez de llamar a una interfaz.
C-004 --> Interfaz sin comentario de documentación.
Para desactivar checks en el código, añadir en los archivos .te o .if:
selint-disable:E-003
selint-disable: E-003,E-005