¿Cómo se puede montar una carpeta dentro de /sdcard con los permisos correctos?

He estado utilizando dos enfoques diferentes con mis versiones más antiguas de Android para montar todo /sdcard/WhatsApp directorio de la tarjeta SD externa. He probado, funciona en Android 9 también, pero las cosas de almacenamiento han cambiado en Android 10.

Antes de entrar en detalles prácticos, debemos tener en cuenta algunos puntos:

• /sdcard no es una realidad sino sistema de archivos emulado . Android utiliza sdcardfs (o FUSE ) para emular el almacenamiento real en /sdcard . Ver ¿Qué es /storage/emulated/0/?

• Los dos sistemas de archivos anteriores tienen un contexto SELinux fijo : u:object_r:sdcardfs:s0 (o u:object_r:fuse:s0 ).

• Normalmente /data/media se emula sobre /sdcard Pero en el caso del Almacenamiento Adoptable cuando se migran los datos, /mnt/expand/[UUID]/media se emula. Véase ¿Cómo liberar el Almacenamiento Interno moviendo los datos o usando symlink / bind-mount con el Almacenamiento Adoptable?

• Archivos y directorios en /sdcard tienen propiedad y permisos fijos que dependen de si la aplicación tiene android.permission.[READ|WRITE]_EXTERNAL_STORAGE permiso concedido o no. Los archivos nunca tienen permiso de ejecución. Los directorios de datos de las aplicaciones en /sdcard/Android/data/ tienen la propiedad establecida en el UID de la aplicación respectiva. Para más detalles, consulte ¿Qué es el UID "u#_everybody"?

  Suponemos que todas las aplicaciones pueden escribir en /sdcard estableciendo la propiedad 0 / 9997 (usuario/grupo) y permisos 0771 / 0660 (directorios/archivos).

• Para lograr dicho comportamiento, desde Android 6 cada aplicación se ejecuta en un espacio de nombres de montaje aislado y /storage/emulated está montado en otro VER : /mnt/runtime/[default|read|write]/emulated con propagación de montaje privado/esclavo. Por lo tanto, montar directamente en /storage/emulated no aparecerá en los espacios de nombres de montaje de las aplicaciones a menos que introduzcas explícitamente el espacio de nombres de montaje de cada aplicación. Lo mismo ocurre si montas desde un espacio de nombres de montaje aislado de alguna aplicación. Ver La partición se desmonta automáticamente en Android Oreo .

  Vamos a montar desde el espacio de nombres Root mount a /mnt/runtime/write/emulated que se propaga a todos los espacios de nombres de montaje de las aplicaciones. Esta vista se expone a las aplicaciones que tienen permiso de almacenamiento concedido.

• /sdcard no admite los atributos extendidos ( xattr ) y el tiempo de acceso ( atime ). Otras opciones de montaje son nosuid , nodev y noexec . Ver página de manual de montaje para más detalles.

En primer lugar, asegúrese de que está en el espacio de nombres de montaje de root como se explica en el enlace dado anteriormente. O utilice nsenter para obtener un shell root en el espacio de nombres global:

~# [ $(readlink /proc/1/ns/mnt) = $(readlink /proc/self/ns/mnt) ] || busybox nsenter -t 1 -m /system/bin/sh

1. ALMACENAMIENTO PORTÁTIL:

La forma más sencilla es formatear la tarjeta SD externa como almacenamiento portátil con exFAT o FAT32 . Dado que estos sistemas de archivos no son nativos de Linux, sus implementaciones de controladores en el núcleo son compatibles con uid , gid , fmask y dmask opciones de montaje. Puede utilizar exfat o sdfat conductores con exFAT y vfat con FAT32 . El anterior tiene también una implementación en el espacio de usuario mount.exfat-fuse que sólo requiere el soporte de FUSE desde el kernel. Compruebe con grep fuse /proc/filesystems .

Digamos que /dev/block/sda1 es su exFAT partición:

~# mount -t exfat -o nosuid,nodev,noexec,noatime,context=u:object_r:sdcardfs:s0,uid=0,gid=9997,fmask=0117,dmask=0006 /dev/block/sda1 /mnt/runtime/write/emulated/0/WhatsApp
~# mv /data/media/0/WhatsApp/* /sdcard/WhatsApp/

* Sustituir u:object_r:sdcardfs:s0 con u:object_r:fuse:s0 o cualquier etiqueta que su /sdcard tiene.

La parte negativa con este enfoque es que vold monta la tarjeta SD externa en el arranque, por lo que es necesario desmontarla primero. También puede crear múltiples particiones. O bien, después de montar con las opciones de montaje requeridas, también puede enlazar el montaje de un directorio en lugar de toda la partición.
En segundo lugar, los datos de la tarjeta SD no están encriptados, aunque hay múltiples formas de encriptarlos manualmente. Ver Desencriptar la tarjeta microSD en otro dispositivo Android u ordenador de sobremesa .

2. ALMACENAMIENTO ADOPTABLE:

Una forma fácil de contrarrestar los inconvenientes mencionados anteriormente es hacer uso del FDE incorporado en el kernel formateando la tarjeta SD como Almacenamiento Adoptable, pero sólo si no quieres migrar todo /data/media/ a la tarjeta SD externa. Una vez formateada, la tarjeta SD externa se montará en /mnt/expand/[UUID] (sistema de archivos UUID es un número de 16 bytes). Pero no podemos simplemente montar un directorio de allí a /sdcard porque el sistema de archivos en Adoptable Storage es ext4 que sigue el modelo de permisos de UNIX, pero las aplicaciones no pueden manejarlos como se ha explicado anteriormente. Incluso si lo haces funcionar de alguna manera (usando chown , chmod etc.), cada aplicación creará archivos con su propio UID que no serán accesibles para otras aplicaciones, por ejemplo, la Galería no podrá ver las imágenes descargadas por WhatsApp.

Así que nos encontramos con dos posibilidades:

• Si su kernel soporta sdcardfs (consultar con grep sdcardfs /proc/filesystems ), crear un directorio en la tarjeta SD adoptada y emularlo a /sdcard/WhatsApp :

  ~# mkdir /mnt/expand/[UUID]/media/0/WhatsApp
  ~# mv /sdcard/WhatsApp/* /mnt/expand/[UUID]/media/0/WhatsApp/
  ~# restorecon -rv /mnt/expand/[UUID]/media/
  ~# mount -t sdcardfs -o nosuid,nodev,noexec,noatime,mask=7,gid=9997 /mnt/expand/[UUID]/media/0/WhatsApp /mnt/runtime/write/emulated/0/Whatsapp

  Tenga en cuenta que necesariamente tenemos que utilizar la ruta /mnt/expand/[UUID]/media/ porque está etiquetado como media_rw_data_file ( 1 ) (como /data/media ( 2 ) ) al que la política de SELinux permite acceder a las aplicaciones ( 3 ) . Si utiliza una ruta diferente, deberá modificar la política de SELinux. A diferencia de otros sistemas de archivos sdcardfs no cambia el contexto de SELinux al acceder al sistema de archivos subyacente.

• O utilizar una herramienta de terceros llamada bindfs (que utiliza FUSE) para simular el comportamiento del sistema de archivos emulado. En realidad, la herramienta incorporada de Android /system/bin/sdcard hace exactamente esto, pero tiene algunas rutas fijas y otras cosas innecesarias, por lo que hay que modificar su código fuente para conseguir lo que queremos. Se puede construir bindfs usted mismo o intente este uno.

  ~# mkdir /mnt/expand/[UUID]/WhatsApp
  ~# mv /sdcard/WhatsApp/* /mnt/expand/[UUID]/WhatsApp/
  ~# bindfs -o nosuid,nodev,noexec,noatime,context=u:object_r:sdcardfs:s0 -u 0 -g 9997 -p a-rwx,ug+rw,ugo+X --create-with-perms=a-rwx,ug+rw,ugo+X --xattr-none --chown-ignore --chgrp-ignore --chmod-ignore /mnt/expand/[UUID]/WhatsApp /mnt/runtime/write/emulated/0/WhatsApp

  Como nota al margen herramientas como rclone , encfs , sshfs etc. que hacen uso de FUSE también se pueden montar dentro de /sdcard de la misma manera.

Así que puedes optar por el método que más te convenga. Por lo general, los controladores dentro del núcleo funcionan mejor que las soluciones de espacio de usuario, y los métodos nativos del núcleo de Linux son más robustos y estables. FUSE (sobre FUSE) puede ejercer una penalización de rendimiento a veces, por ejemplo, si la propia tarjeta SD soporta transferencias de datos de alta velocidad.

Puede colocar los comandos de montaje necesarios en un init.d script o definir y init servicio. Ver ¿Cómo ejecutar un ejecutable en el arranque y mantenerlo en funcionamiento?

Nota:

• Aplicaciones que no escanean /sdcard sistema de archivos, sino que dependen del MediaProvider de Android para cualquier cambio, pueden necesitar un escaneo forzado de medios para que los nuevos archivos en el sistema de archivos montado aparezcan inmediatamente.
• Si utiliza varios usuarios o perfiles, deberá montar un nuevo sistema de archivos para cada User_ID . Para el propietario del dispositivo es 0 .