视频字幕
Linux系统提供了基于文件扩展属性的执行控制机制。文件扩展属性是存储在文件系统中的额外元数据，可以用来实现安全标记和访问控制。SELinux是最标准和强大的实现方式，它利用security.selinux扩展属性存储安全上下文，通过强制访问控制策略确保只有被正确授权和标记的文件才能执行。
SELinux安全上下文由四个部分组成，用冒号分隔。第一部分是用户，标识文件所有者类型。第二部分是角色，定义用户可以承担的角色。第三部分是类型，这是最重要的部分，定义了文件的访问权限。第四部分是级别，用于多级安全标记。例如bin_t类型表示可执行文件，通过类型标记可以精确控制文件的执行权限。
SELinux通过策略规则控制执行权限。allow规则定义了哪些进程可以执行哪些文件，例如允许user_t类型的进程执行bin_t类型的文件。type_transition规则定义进程执行时的上下文转换。file_contexts文件定义文件路径的默认安全标记。当进程尝试执行文件时，内核会检查策略规则，只有符合规则的执行才被允许，否则会被拒绝。
SELinux提供了多种工具来管理文件标记。chcon命令可以手动设置文件的安全上下文，例如将文件类型改为admin_home_t。restorecon命令根据策略规则恢复文件的默认标记。setfiles命令可以批量设置文件标记。file_contexts文件定义了文件路径到安全上下文的映射关系，这些工具共同实现了文件标记的自动化管理。
基于文件扩展属性的执行控制系统实现了多层次的安全保障。Linux内核通过SELinux安全模块，结合安全策略和文件扩展属性，实现了细粒度的访问控制。这种机制不仅能精确控制文件执行权限，还能防止恶意动态库注入，提供自动化的标记管理和内核级别的强制访问控制。整个系统形成了完整的安全防护体系，确保只有经过授权的文件才能执行。