adb shell settings.global 命令执行无权限？

Question

在使用 `adb shell settings global` 命令修改系统设置时，部分设备会出现“Permission denied”错误，提示无权限执行。该问题常见于非 rooted 设备或未启用调试权限的生产环境。即使已开启 USB 调试，Android 的 SELinux 策略和权限控制机制仍会限制对全局设置数据库的写操作。此外，厂商定制 ROM（如小米、华为等）可能进一步加固系统安全策略，导致 `settings` 命令失败。此问题直接影响自动化测试、设备配置等依赖 ADB 的场景，需通过 root 权限或厂商白名单工具解决。

Answer 1

1. 问题背景与现象描述

在 Android 设备上通过 ADB 执行 adb shell settings global put <name> <value> 命令时，部分设备返回“Permission denied”错误。该问题在非 rooted 设备中尤为常见，即使已开启 USB 调试模式并正确连接 ADB，仍无法写入全局设置（global settings）数据库。

典型报错信息如下：

Exception occurred while executing 'put':
java.lang.SecurityException: Permission denial: writing to settings requires android.permission.WRITE_SETTINGS
        at com.android.providers.settings.SettingsProvider.enforceWritePermission(SettingsProvider.java:2015)

此限制直接影响自动化测试脚本、CI/CD 流水线中的设备预配置、性能调优等依赖 ADB 的关键场景。

2. 权限机制分层解析

Android 系统对设置修改的权限控制是多层级的，主要包括以下三类：

• Android App Permissions：应用需声明 WRITE_SETTINGS 权限，但该权限属于特殊权限，用户必须手动授权。
• Linux DAC（Discretionary Access Control）：文件系统级别的属主与权限控制，/data/data/com.android.providers.settings/databases/settings.db 通常仅允许 system 用户访问。
• SELinux MAC（Mandatory Access Control）：强制访问控制策略，即使拥有 root 权限，若 SELinux 策略不允许，操作仍会被拒绝。

下表展示了不同权限层级对 settings global put 操作的影响：

权限层级	是否可绕过	影响范围	典型设备表现
WRITE_SETTINGS 权限	部分可申请	应用级设置	非系统应用受限
Linux 文件权限	需 root	数据库文件访问	所有设备均受控
SELinux 策略	需修改 sepolicy	进程行为控制	Samsung、Xiaomi 更严格
OEM 安全加固	需白名单或工具	ADB 命令拦截	Huawei、OPPO 存在额外限制

3. SELinux 与 OEM 加固机制深度分析

现代 Android 设备默认运行在 enforcing 模式下，可通过以下命令查看当前状态：

adb shell getenforce

返回 Enforcing 表示 SELinux 正在强制执行安全策略。此时，即使通过 ADB 获取了 shell 权限（如 shell 用户），其 SELinux 上下文为 u:r:shell:s0，无法执行对 settings 数据库的写入操作。

厂商定制 ROM 如小米的 MIUI、华为的 EMUI 通常引入额外的安全模块：

• 小米：启用“USB 调试（安全设置）”需在开发者选项中单独开启“OEM 解锁”和“USB 调试（安全设置）”。
• 华为：部分机型限制 ADB 修改敏感设置，需使用华为专用工具（如 HiSuite 或 eRecovery）进行配置。
• OPPO/Vivo：存在“开发者增强模式”或“ADB 调试白名单”机制，未加入白名单的应用或命令将被拦截。

4. 可行解决方案汇总

根据设备状态和使用场景，可采取以下策略：

1. 获取 Root 权限：使用 Magisk 或 SuperSU 获取 root 后，通过 su -c 执行命令：

2. adb shell su -c "settings global put airplane_mode_on 1"

3. 使用厂商白名单工具：如小米的 Mi Unlock Tool、华为的 DevEco Device Tool，注册设备并授权调试权限。
4. 修改 SELinux 策略（仅限测试设备）：临时设为 permissive 模式：

5. adb shell su -c "setenforce 0"

6. 通过 Accessibility Service 或 Device Owner 模式：在企业设备管理场景中，部署 Device Policy Controller（DPC）应用，获得更高权限。
7. 使用系统签名工具重签 ADB 工具链：适用于自有 ROM 开发，使用 platform key 对 settings provider 进行系统级调用。

5. 自动化测试环境适配建议

在 CI/CD 环境中，推荐采用以下流程图进行设备权限检测与处理：

graph TD
    A[开始 ADB 设置操作] --> B{设备是否 rooted?}
    B -- 是 --> C[使用 su 执行 settings 命令]
    B -- 否 --> D{是否为厂商定制设备?}
    D -- 是 --> E[调用厂商工具授权或白名单注册]
    D -- 否 --> F[尝试 setenforce 0 + 写入设置]
    F --> G{操作成功?}
    G -- 否 --> H[记录日志并标记设备不可用]
    G -- 是 --> I[继续执行测试流程]
    E --> F
    C --> I
    

此外，建议在自动化框架中集成动态权限探测模块，自动识别设备型号、ROM 类型及 SELinux 状态，选择最优执行路径。