Waydroid 架构：LXC、Binder 与会话桥接

graph TB
    subgraph Host["Linux 宿主 (root/用户空间)"]
        KERNEL["Linux Kernel<br/>binder + ashmem + memfd + PSI"]
        DBUS_SYS["D-Bus System Bus<br/>(root 权限域)"]
        DBUS_SES["D-Bus Session Bus<br/>(用户权限域)"]
    end

    subgraph Waydroid["Waydroid 管理层 (Python)"]
        CM["ContainerManager<br/>id.waydro.Container<br/>root 执行 / system bus"]
        SM["SessionManager<br/>id.waydro.Session<br/>用户执行 / session bus"]
        PK["授权策略<br/>按实际 D-Bus/发行版核对"]
    end

    subgraph Container["LXC Android 容器"]
        INIT["/init (Android init)<br/>PID 1 inside container"]
        HAL["HAL 层服务<br/>GPU / Audio / Input / Sensors"]
        APP["Android Apps<br/>LineageOS A13 (Android 13)"]
    end

    subgraph Services["后台桥接服务"]
        UM["user_manager"]
        CM2["clipboard_manager"]
        NM["notification_manager"]
    end

    KERNEL -->|"binder memfd"| Container
    DBUS_SYS -->|"root 鉴权"| CM
    DBUS_SES -->|"用户会话"| SM
    PK -->|"授权检查"| CM
    CM -->|".Start() D-Bus 调用"| Container
    SM -->|"Wayland socket<br/>PulseAudio pipe"| Container
    Services -->|"gbinder Python/C bridge"| HAL

    style Host fill:#1a1a2e,stroke:#0f3460,color:#e0e0e0
    style Waydroid fill:#0f3460,stroke:#16213e,color:#e0e0e0
    style Container fill:#533483,stroke:#3b2665,color:#e0e0e0
    style Services fill:#1b4332,stroke:#2d6a4f,color:#e0e0e0

sequenceDiagram
    participant User as 普通用户 (UID 1000)
    participant SM as SessionManager<br/>(session bus)
    participant PK as PolicyKit
    participant CM as ContainerManager<br/>(system bus)
    participant LXC as LXC Container

    User->>SM: waydroid session start
    SM->>CM: D-Bus: id.waydro.Container.Start()
    Note over SM,CM: 跨总线调用 (system bus)
    CM->>PK: 检查 org.waydro.container.start
    PK-->>CM: 授权通过
    CM->>LXC: lxc-start -F -n waydroid -- /init
    LXC-->>CM: 容器运行中
    CM-->>SM: 返回状态
    SM-->>User: 会话就绪

对比三种方案：

硬件辅助虚拟化 (QEMU/KVM)：
  宿主内核 → KVM → 独立内核 → Android 用户空间
  使用独立客体内核，性能和 GPU 集成取决于虚拟化配置

全虚拟化 (VirtualBox)：
  宿主内核 → Hypervisor → 独立内核 → Android 用户空间
  同上，且需要内核模块

LXC 容器 (Waydroid)：
  宿主内核 ← lxc-start ← /init (Android init) ← Android 用户空间
  不启动独立客体内核，直接复用宿主驱动 (GPU/dri/renderD128)

# Waydroid 根文件系统位置
/var/lib/waydroid/
├── rootfs/           # 容器内看到的 /
│   ├── system/       # LineageOS A13 系统镜像 (system.img, 只读)
│   ├── vendor/       # 厂商镜像 (vendor.img, 只读)
│   ├── data/         # 用户数据 (来自 ~/.local/share/waydroid/data)
│   └── ...
├── images/
│   ├── system.img    # → 挂载到 rootfs/system (只读, lower layer)
│   └── vendor.img    # → 挂载到 rootfs/vendor (只读, lower layer)
├── waydroid.prop     # Android 系统属性覆盖
└── lxc/              # 动态生成的 LXC 配置文件

# 配置生成管道（简化）
def set_lxc_config():
    # 1. 复制基础配置片段
    copy_base_snippets("data/configs/config_*")

    # 2. 根据 LXC 版本适配
    apply_lxc_version_specific(lxc_version)

    # 3. 设置 AppArmor / Seccomp profile
    set_lxc_config_item("lxc.apparmor.profile", "unconfined")  # 示例，以实际模板为准
    set_lxc_config_item("lxc.seccomp.profile", "/var/lib/waydroid/waydroid.seccomp")

    # 4. 动态生成 binder 节点挂载条目
    generate_nodes_lxc_config()    # binder, vndbinder, hwbinder

    # 5. 动态生成会话相关挂载条目
    generate_session_lxc_config()  # Wayland socket, PulseAudio, data dir

graph LR
    subgraph Host["宿主内核空间"]
        BINDER["/dev/binder<br/>binder 驱动"]
        VNDBINDER["/dev/vndbinder<br/>vendor binder"]
        HWBINDER["/dev/hwbinder<br/>hardware binder"]
    end

    subgraph Container["Android 容器"]
        SM["servicemanager"]
        HAL["HAL 服务"]
        APP["应用进程"]
    end

    SM -->|"注册/查询服务"| BINDER
    HAL -->|"vendor HAL 通信"| VNDBINDER
    APP -->|"应用层 IPC"| BINDER
    HAL -->|"硬件抽象层"| HWBINDER

    style Host fill:#1a1a2e,stroke:#0f3460,color:#e0e0e0
    style Container fill:#533483,stroke:#3b2665,color:#e0e0e0

传统固定 Binder 节点（与内核版本无严格分界）:
  /dev/binder          ← 单一设备节点，所有 binder 通信共用
  权限：由实际 udev/发行版/LXC 设备配置管理，不向整个 binderfs 递归放权
  缺点：无法动态分配 binder 节点，所有 IPC 共享一个设备

BinderFS（自 Linux 5.0 引入）:
  /dev/binderfs/       ← binder 文件系统
  ├── binder           ← 通过 ioctl(BINDER_CTL_ADD) 动态分配
  ├── vndbinder
  └── hwbinder
  优势：支持多个独立的 binder 实例，安全隔离更好

def setupBinderNodes():
    # 1. 探测宿主内核是否有 binder 模块
    if not probe_binder_modules():
        raise BinderError("binder kernel module not found")

    # 2. 如果内核支持 binderfs，优先使用
    if binderfs_available():
        mount_binderfs("/dev/binderfs")
        # 通过 ioctl 分配三个节点
        ioctl(binderfs_fd, BINDER_CTL_ADD, "binder")
        ioctl(binderfs_fd, BINDER_CTL_ADD, "vndbinder")
        ioctl(binderfs_fd, BINDER_CTL_ADD, "hwbinder")
    else:
        # 3. 回退到传统 /dev/binder 节点
        use_legacy_binder_node("/dev/binder")

    # 4. 核对实际设备规则与最小访问范围；不对全部节点 chmod 666

# gbinder 使用示例：获取 Android 内的服务
import gbinder

# 连接到 servicemanager
sm = gbinder.ServiceManager("/dev/binder")

# 获取 IUserMonitor 服务
user_monitor = sm.get_service("user_monitor")
resp, status = user_monitor.transact(code=1, parcel=data)

# 获取 INotifications 服务
notifications = sm.get_service("notifications")

# 传统 binder 模式生成的 LXC 配置片段
lxc.mount.entry = /dev/binder dev/binder none bind,create=file 0 0
lxc.mount.entry = /dev/vndbinder dev/vndbinder none bind,create=file 0 0
lxc.mount.entry = /dev/hwbinder dev/hwbinder none bind,create=file 0 0

# binderfs 模式
lxc.mount.entry = /dev/binderfs/binder dev/binder none bind,create=file 0 0
lxc.mount.entry = /dev/binderfs/vndbinder dev/vndbinder none bind,create=file 0 0
lxc.mount.entry = /dev/binderfs/hwbinder dev/hwbinder none bind,create=file 0 0

sequenceDiagram
    participant CLI as waydroid CLI
    participant SM as SessionManager
    participant CM as ContainerManager
    participant DRV as Driver Probe
    participant LXC as LXC Config Gen
    participant CT as LXC Container
    participant INIT as Android /init

    CLI->>SM: waydroid session start

    Note over SM: Step 1: D-Bus 会话验证
    SM->>SM: 检查 D-Bus session bus 可用性
    SM->>SM: 验证 $WAYLAND_DISPLAY 已设置

    Note over SM,CM: Step 2: ContainerManager.Start()
    SM->>CM: D-Bus: id.waydro.Container.Start()
    CM->>CM: PolicyKit 权限检查

    Note over CM,DRV: Step 3: Binder/ashmem 驱动探测
    CM->>DRV: probe_binder_modules()
    CM->>DRV: setupBinderNodes()
    CM->>DRV: probe_ashmem()

    Note over CM,LXC: Step 4: LXC 配置生成
    CM->>LXC: set_lxc_config()
    LXC->>LXC: copy base configs
    LXC->>LXC: LXC version adaptation
    LXC->>LXC: generate_nodes_lxc_config()
    LXC->>LXC: generate_session_lxc_config()

    Note over CM: Step 5: OverlayFS 挂载
    CM->>CM: mount system.img + vendor.img
    CM->>CM: mount user data overlay

    Note over CM,CT: Step 6: lxc-start
    CM->>CT: lxc-start -F -n waydroid -- /init

    Note over CT,INIT: Step 7: Android init 启动 HAL
    INIT->>INIT: init.rc 解析
    INIT->>INIT: 启动 servicemanager
    INIT->>INIT: 启动 surfaceflinger
    INIT->>INIT: 启动 audioserver, cameraserver...

    Note over SM: Step 8: 后台服务启动
    CT-->>SM: 容器就绪信号
    SM->>SM: 启动 user_manager (gbinder)
    SM->>SM: 启动 clipboard_manager (gbinder)
    SM->>SM: 启动 notification_manager (gbinder)

    SM-->>CLI: 会话就绪

# SessionManager 首先检查：
# - D-Bus session bus socket 是否存在 ($DBUS_SESSION_BUS_ADDRESS)
# - Wayland display 是否设置 ($WAYLAND_DISPLAY)
# - 必要目录是否存在 (~/.local/share/waydroid)

# 概念示例，不是 Waydroid 的精确启动命令
mount -o loop,ro /path/to/system.img /path/to/lower
mount -t overlay overlay \
  -o lowerdir=/path/to/lower,upperdir=/path/to/upper,workdir=/path/to/work \
  /path/to/merged

lxc-start -F -n waydroid -- /init
# -F: foreground 模式（Waydroid 需要持续监控容器状态）
# -n waydroid: 容器名称
# -- /init: Android init 作为容器 PID 1

# 后台服务启动策略（session_manager.py 内逻辑）
services = [
    ("user_manager",        UserManager),
    ("clipboard_manager",   ClipboardManager),
    ("notification_manager", NotificationManager),
]

for name, cls in services:
    service = cls()
    service.connect_to_binder()     # 通过 gbinder 连接 Android 服务
    service.register_dbus()         # 在 session bus 上注册 D-Bus 接口
    service.run()                   # 进入事件循环

graph TB
    subgraph 安全层
        L1["第 1 层：Linux Namespaces<br/>PID/Net/Mount/UTS/IPC 视图隔离"]
        L2["第 2 层：AppArmor 检查<br/>所查上游默认 unconfined"]
        L3["第 3 层：PolicyKit 鉴权<br/>需核对 D-Bus 与授权规则"]
        L4["第 4 层：Seccomp Filter<br/>系统调用白名单/黑名单过滤"]
        L5["第 5 层：Capabilities 检查<br/>所查上游权限较宽"]
    end

    L1 --> L2 --> L3 --> L4 --> L5

    style L1 fill:#1a1a2e,stroke:#0f3460,color:#e0e0e0
    style L2 fill:#0f3460,stroke:#16213e,color:#e0e0e0
    style L3 fill:#1b4332,stroke:#2d6a4f,color:#e0e0e0
    style L4 fill:#3b2665,stroke:#533483,color:#e0e0e0
    style L5 fill:#5c4d7d,stroke:#7b68ae,color:#e0e0e0

# 容器启动时指定的 AppArmor profile
lxc.apparmor.profile = unconfined # 此上游 config_3 的值，不代表已受 AppArmor 限制

# 查看当前加载的 Waydroid 相关 AppArmor profile
sudo aa-status | grep waydroid

<!-- /usr/share/polkit-1/actions/id.waydro.Container.policy -->
<action id="org.waydro.container.start">
    <description>Start Waydroid container</description>
    <message>Authentication is required to start the Waydroid container</message>
    <defaults>
        <allow_any>no</allow_any>
        <allow_inactive>no</allow_inactive>
        <allow_active>auth_admin_keep</allow_active>
    </defaults>
</action>

# waydroid.seccomp 黑名单示例
# 禁止通过 handle 绕路访问文件（防止容器逃逸尝试）
open_by_handle_at  errno 1

# 禁止加载内核模块（容器内无需也绝不应加载模块）
init_module        errno 1
finit_module       errno 1

# 禁止直接操作内核密钥环
add_key            errno 1
request_key        errno 1

lxc.seccomp.profile = /var/lib/waydroid/waydroid.seccomp

# Waydroid 容器中保留的 capabilities
lxc.cap.drop = mac_admin mac_override
lxc.cap.drop = sys_admin   # 自定义加固示意，会影响 Android 所需操作；上游仍保留 sys_admin
lxc.cap.drop = sys_module  # 禁止加载/卸载内核模块
lxc.cap.drop = sys_time    # 自定义示意；当前上游 capability 列表包含 sys_time
lxc.cap.drop = sys_ptrace  # 禁止 ptrace 其他进程
lxc.cap.keep = net_admin   # 保留：网络配置需要
lxc.cap.keep = net_raw     # 保留：原始 socket 需要（DHCP 等）

┌─────────────────────────────────────────────────────┐
│ root (UID 0)                                        │
│  └─ ContainerManager (system bus)                   │
│     - 可以做的事：LXC 生命周期、mount 操作、          │
│       binder 节点管理                               │
│     - 职责不包括：访问用户会话数据、操作剪贴板、     │
│       管理通知                                      │
├─────────────────────────────────────────────────────┤
│ 普通用户 (UID 1000)                                  │
│  ├─ SessionManager (session bus)                    │
│  │   - 管理 Wayland/PulseAudio 挂载                 │
│  │   - 控制 Android 应用窗口                        │
│  └─ 后台服务 (user/clipboard/notification_manager)  │
│      - 通过 gbinder 与 Android HAL 通信             │
│      - 操作限于用户数据范围                          │
└─────────────────────────────────────────────────────┘