Electron-Builder 在 Linux 系统下的 AppArmor 配置解决方案

背景介绍

在 Ubuntu 24 及后续版本中，系统引入了更严格的 AppArmor 安全机制，这导致许多 Electron 应用程序在运行时出现问题。AppArmor 是 Linux 内核的一个安全模块，用于限制程序的能力，通过定义应用程序可以访问哪些系统资源和文件来提供额外的安全层。

问题现象

当 Electron 应用程序在启用了 AppArmor 的 Ubuntu 24 系统上运行时，可能会遇到崩溃或功能异常的情况。这是因为 Electron 需要创建用户命名空间(user namespace)，而默认的 AppArmor 配置可能不允许这种行为。

技术解决方案

Electron-Builder 从 v26.0.0-alpha.6 版本开始，为基于 FPM 的 Linux 打包方式提供了自动化的 AppArmor 配置文件生成功能。解决方案的核心是在应用程序安装时自动创建适当的 AppArmor 配置文件。

AppArmor 配置文件内容

典型的 Electron 应用程序 AppArmor 配置文件应包含以下内容：

# 此配置文件允许所有操作，主要目的是为应用程序提供一个名称标签
# 而不是显示为"unconfined"(无限制)

abi <abi/4.0>,
include <tunables/global>

profile 应用程序名称 "/opt/安装路径/可执行文件" flags=(unconfined) {
  userns,

  # 站点特定的添加和覆盖
  include if exists <local/应用程序名称>
}

关键配置说明

1. flags=(unconfined)：表示不对应用程序施加额外限制
2. userns：允许创建用户命名空间，这是 Electron 运行所必需的
3. 包含本地配置文件的可能性，为系统管理员提供自定义规则的灵活性

实现细节

Electron-Builder 通过以下方式实现这一功能：

1. 在构建配置中新增了 appArmorProfile 参数，允许开发者提供自定义的 AppArmor 配置
2. 自动检测目标系统是否启用了 AppArmor
3. 对于支持的系统，在安装过程中自动创建配置文件
4. 在卸载应用程序时自动移除相关配置文件

适用范围

目前这一功能仅支持基于 FPM 的打包方式(如 .deb 和 .rpm)，不支持 AppImage 格式。这是因为 AppImage 的动态执行路径特性使得自动创建和移除配置文件变得困难。

最佳实践建议

1. 对于面向 Ubuntu 24 及以上版本分发的 Electron 应用，建议升级到支持此功能的 Electron-Builder 版本
2. 在应用程序文档中说明对 AppArmor 的支持情况
3. 对于高级用户，可以通过配置文件中的 appArmorProfile 参数提供自定义规则

未来展望

随着 Linux 安全机制的不断演进，Electron 生态需要持续适应这些变化。开发者社区正在积极探索更全面的解决方案，包括对 AppImage 等打包格式的支持。