Para um arquivo escolhido pelo usuário, o acesso por portal pode limitar a permissão àquele recurso. Se o aplicativo precisar acessar uma pasta de forma persistente, prefira conceder acesso apenas ao caminho necessário e, quando possível, somente para leitura. Os dados de cada aplicativo e os arquivos de instalação do Flatpak também ficam em locais diferentes.
As permissões do Flatpak têm escopos diferentes
Por padrão, um aplicativo Flatpak acessa os arquivos do próprio aplicativo, o ambiente de execução e seu diretório de dados em ~/.var/app/$FLATPAK_ID. Também pode acessar seu próprio diretório de execução. Só esses dois últimos diretórios são graváveis. O acesso à rede e aos nós de dispositivos é bloqueado por padrão, e o acesso a processos e ao D-Bus é limitado, segundo a documentação do Flatpak sobre permissões do sandbox.
Um portal intermedeia o acesso a um recurso escolhido pelo usuário, como um arquivo selecionado em uma janela de abertura. Assim, o aplicativo pode receber acesso àquele arquivo sem ganhar permissão permanente para uma pasta inteira. O funcionamento depende do suporte do portal e do toolkit usado pelo aplicativo.
Uma permissão persistente de sistema de arquivos é diferente: ela altera o escopo de acesso do aplicativo. Quando esse acesso for necessário, o Flatpak recomenda limitar a permissão ao caminho relevante e usar somente leitura quando isso bastar. A opção :ro indica acesso somente para leitura. A permissão home não inclui ~/.var/app, e ~/.local/share/flatpak precisa ser solicitada separadamente.
Se o aplicativo oferecer acesso por portal, comece pelo arquivo que você escolheu. Para acesso persistente, conceda apenas a pasta necessária e prefira somente leitura quando for suficiente.
Escolha a ferramenta pelo tipo de acesso
O Flatseal permite alterar permissões persistentes do sandbox por aplicativo. Na demonstração de Chris Titus Tech, a interface mostra controles de acesso a arquivos e a opção de redefinir permissões alteradas.
| Tarefa | Abordagem | Ferramenta ou interface | O que é afetado |
| Abrir um arquivo escolhido | Usar o acesso mediado por portal, quando disponível | Seletor de arquivos do aplicativo | O recurso selecionado |
| Permitir acesso recorrente a uma pasta | Criar uma permissão persistente e limitar o caminho; usar somente leitura quando possível | Flatseal | A pasta concedida ao aplicativo |
| Administrar dados de aplicativos Flatpak | Localizar e gerenciar os dados específicos do aplicativo | Warehouse | Dados do aplicativo, inclusive dados restantes após a desinstalação |
Dados do aplicativo e arquivos de instalação ficam em lugares distintos
Os dados de cada aplicativo ficam em ~/.var/app/$FLATPAK_ID. Já uma instalação Flatpak feita para o usuário fica em $HOME/.local/share/flatpak/; a instalação padrão para todo o sistema fica em /var/lib/flatpak/. A referência de comandos do Flatpak descreve esses locais como categorias diferentes. Portanto, procurar dados pessoais de um aplicativo e localizar instalações ou ambientes de execução são tarefas distintas.
O Warehouse ajuda a administrar aplicativos e dados Flatpak, incluindo a limpeza de dados não usados deixados por aplicativos desinstalados. A listagem do Flathub também descreve o gerenciamento de snapshots. Nessa página, o Warehouse aparece na versão 2.2.0 e para as arquiteturas aarch64 e x86_64; esses detalhes constam na listagem do Warehouse no Flathub.
