一、前置思考

分布式场景下权限管控是最棘手的安全问题——手机上授权的权限，流转到平板上是否自动生效？第三方应用调用分布式摄像头时，权限如何验证？跨设备的accessToken是怎么生成和传递的？

本文聚焦：

• HarmonyOS分布式权限模型（ATAM：Access Token Authentication Mechanism）
• 跨设备权限传递的Token生命周期
• 权限等级DLP（Distributed Level Permission）的设计
• 安全沙箱与进程隔离在分布式场景下的扩展

真实痛点场景：

1. 流转后权限丢失：手机上有相机权限，流转到平板后提示"无权限"
2. 权限泄露：第三方应用通过分布式调用获取了不应有的传感器数据
3. Token过期：长时间使用的分布式能力突然失效
4. 权限校验不一致：不同设备上同一个应用权限检查结果不同

二、核心原理

2.1 分布式权限模型

┌─────────────────────────────────────────┐
│              ATAM 权限模型               │
│                                          │
│  ┌──────────────────────────────────┐   │
│  │        accessToken (AT)          │   │
│  │  ┌──────────────────────────┐    │   │
│  │  │ tokenId      (唯一ID)    │    │   │
│  │  │ bundleName   (应用包名)  │    │   │
│  │  │ appId        (应用标识)  │    │   │
│  │  │ userId       (用户ID)    │    │   │
│  │  │ deviceId     (签发设备)  │    │   │
│  │  │ authStatus   (认证状态)  │    │   │
│  │  │ permList     (权限列表)  │    │   │
│  │  │ expireTime   (过期时间)  │    │   │
│  │  │ signature    (数字签名)  │    │   │
│  │  └──────────────────────────┘    │   │
│  └──────────────────────────────────┘   │
│                                          │
│  权限等级:                                │
│  • system_grant → 系统自动授权             │
│  • user_grant   → 用户弹窗确认             │
│  • distributed  → 额外要求分布式许可        │
│  • restricted   → 仅系统应用可申请          │
└─────────────────────────────────────────┘

2.2 分布式权限传递流程

源设备(手机)                           目标设备(平板)
    │                                      │
    │ 1. 应用调用分布式能力                  │
    │    (如 distributedCamera)              │
    │                                      │
    │ 2. 系统检查 accessToken                │
    │    确认该应用有 CAMERA 权限            │
    │                                      │
    │ 3. 生成分布式Token                    │
    │    (包含原有权限 + 分布式标记)         │
    │                                      │
    │ 4. Token通过安全信道传输 ──────────→ │
    │                                      │ 5. 目标设备校验Token
    │                                      │    • 验证数字签名
    │                                      │    • 检查权限有效性
    │                                      │    • 确认设备信任关系
    │                                      │
    │                                      │ 6. 校验通过 → 授予临时权限
    │                                      │    校验失败 → 拒绝请求
    │                                      │
    │ 7. 收到确认/拒绝 ←────────────────   │
    │                                      │
    │ 8. 分布式能力调用开始                  │ 9. 临时权限生效
    ▼                                      ▼

2.3 权限等级详解

// module.json5 中的分布式权限声明
{
  "module": {
    "requestPermissions": [
      {
        "name": "ohos.permission.CAMERA",
        "reason": "$string:camera_reason",
        "usedScene": {
          "abilities": ["EntryAbility"],
          "when": "inuse"
        }
      },
      {
        "name": "ohos.permission.DISTRIBUTED_DATASYNC",
        "reason": "$string:dist_data_reason",
        "usedScene": {
          "abilities": ["EntryAbility"],
          "when": "always"
        }
      },
      {
        "name": "ohos.permission.DISTRIBUTED_SOFTBUS_CENTER",
        "reason": "$string:softbus_reason",
        "usedScene": {
          "abilities": ["EntryAbility"],
          "when": "always"
        }
      }
    ]
  }
}

2.4 动态权限检查

import { abilityAccessCtrl, Permissions } from '@kit.AbilityKit';

class DistributedPermissionChecker {
  private atm: abilityAccessCtrl.AtManager;

  constructor() {
    this.atm = abilityAccessCtrl.createAtManager();
  }

  // 检查本地权限
  async checkLocalPermission(permission: Permissions): Promise<boolean> {
    try {
      const grantStatus: abilityAccessCtrl.GrantStatus =
        await this.atm.checkAccessToken(
          /* accessTokenId */,
          permission
        );
      return grantStatus ===
        abilityAccessCtrl.GrantStatus.PERMISSION_GRANTED;
    } catch (e) {
      console.error('权限检查失败: ' + (e as Error).message);
      return false;
    }
  }

  // 检查分布式权限（验证Token是否有效）
  async checkDistributedPermission(
    remoteToken: string,
    permission: Permissions
  ): Promise<boolean> {
    // 1. 验证Token签名
    const verified: boolean = await this.verifyTokenSignature(remoteToken);
    if (!verified) return false;

    // 2. 解析Token内容
    const tokenInfo: TokenInfo = this.parseToken(remoteToken);

    // 3. 检查权限是否在Token的permList中
    const hasPermission: boolean = this.hasPermissionInToken(
      tokenInfo, permission);

    // 4. 检查Token是否过期
    const isExpired: boolean = Date.now() > tokenInfo.expireTime;

    return hasPermission && !isExpired;
  }

  // 请求用户授权（user_grant权限）
  async requestPermissionFromUser(
    context: Context,
    permissions: Permissions[]
  ): Promise<void> {
    const result: abilityAccessCtrl.GrantStatus =
      await this.atm.requestPermissionsFromUser(context, permissions as Array<Permissions>);
    // 处理结果...
  }
}

interface TokenInfo {
  tokenId: string;
  bundleName: string;
  permList: string[];
  expireTime: number;
  signature: string;
}

2.5 安全沙箱与分布式隔离

// 分布式场景下的安全沙箱约束
class DistributedSandboxConstraint {
  // 分布式调用的文件访问限制
  // 只能访问 /data/storage/el2/distributedfiles/
  static readonly DISTRIBUTED_FILE_ROOT: string =
    '/data/storage/el2/distributedfiles/';

  // 分布式调用的API白名单
  static readonly DISTRIBUTED_API_WHITELIST: string[] = [
    'distributedKVStore',
    'distributedDataObject',
    'distributedFileSystem',
    'distributedScreen',
    'distributedCamera',
    'distributedSensor'
  ];

  static isDistributedAPIAccessible(apiName: string): boolean {
    for (let i: number = 0; i < this.DISTRIBUTED_API_WHITELIST.length; i++) {
      if (apiName === this.DISTRIBUTED_API_WHITELIST[i]) {
        return true;
      }
    }
    return false;
  }
}

三、避坑速查

四、总结

分布式权限管控是鸿蒙安全架构的基石：

1. ATAM模型：accessToken = 身份+权限+时效+签名的综合体
2. 分布式Token：源端签发，目标端验证，加密信道传递
3. 权限等级：system_grant自动传，user_grant需确认，distributed额外要求
4. 安全沙箱：分布式调用限制在API白名单和文件沙箱内