Permissões e dados do Flatpak: o que usar

Flatpak é um sistema de distribuição de aplicativos para Linux que os executa em um sandbox, um ambiente que limita o acesso ao restante do computador. Para resolver um problema, identifique se o app precisa de uma permissão, de uma autorização de portal ou de uma operação sobre os dados que ficaram armazenados.

Permissões estáticas e autorizações de portal

Uma permissão estática define o acesso do app no sandbox; ela pode vir das configurações do próprio aplicativo ou de uma sobrescrita feita pelo usuário. Já uma permissão de portal é concedida durante uma interação, como escolher um arquivo em uma janela do sistema. O Flatseal gerencia sobrescritas estáticas e também certas permissões dinâmicas guardadas pelo sistema de portais. (Documentação do Flatseal)

A diferença muda o lugar em que vale procurar. Se um app não consegue acessar uma pasta específica, o Flatseal permite ajustar permissões de sistema de arquivos, entre outras categorias, e o comando flatpak override altera sobrescritas estáticas. Se a dúvida é sobre uma autorização lembrada depois de uma interação com um portal, o comando flatpak permissions trata dessas permissões dinâmicas; flatpak permission-reset APP_ID pode redefini-las para um aplicativo. (Referência de comandos do Flatpak)

Dê ao aplicativo o menor acesso que resolva a tarefa, em vez de liberar toda a pasta pessoal.

Escolha o alcance do acesso

A permissão home dá acesso amplo à pasta pessoal, com uma exceção: ~/.var/app, onde ficam os dados persistentes dos aplicativos Flatpak. Para uma necessidade pontual, uma permissão para um caminho específico ou um portal que dá acesso a um arquivo escolhido pelo usuário tem alcance mais restrito. Quando bastar ler os arquivos, uma concessão somente de leitura também limita o que o app pode fazer. (Permissões do sandbox Flatpak)

As opções não são equivalentes: um portal pode autorizar um arquivo selecionado, enquanto uma sobrescrita de sistema de arquivos pode liberar um caminho definido. Conceder acesso a home alcança uma área mais ampla. Use o tipo de permissão que corresponde ao recurso necessário.

Flatseal, KDE Flatpak KCM e Warehouse

O Flatseal serve para ajustar permissões estáticas e certas autorizações de portal. O Flatpak KCM, módulo de configurações do KDE, concentra-se nas interações com portais e em permissões lembradas, incluindo sessões de captura de tela e de área de trabalho remota. O Flatseal também alcança algumas permissões de portal, então os escopos se sobrepõem; a integração do KCM às configurações do KDE é um motivo prático para escolhê-lo nesse ambiente. (Flatpak KCM do KDE)

O Warehouse é voltado à inspeção e ao gerenciamento dos dados de usuário dos apps, além de ações em lote, gerenciamento de repositórios remotos e cópias instantâneas desses dados. O projeto parte do diretório padrão ~/.var/app e complementa as operações do Flatpak. (README do Warehouse)

O que a desinstalação e a limpeza apagam

Os dados de usuário de um app ficam em ~/.var/app/$FLATPAK_ID. Uma desinstalação comum pode preservá-los, o que permite manter configurações e outros dados para uma reinstalação. Para excluí-los junto com as permissões associadas, use flatpak uninstall --delete-data APP_ID; confira o aplicativo selecionado antes de confirmar, pois esses dados não serão mantidos para uma reinstalação. (Referência de comandos do Flatpak; instruções de desinstalação do Flathub)

Já flatpak uninstall --unused remove referências sem uso, como runtimes, e não substitui a exclusão dos dados pessoais de um app. flatpak repair tem outra função: verifica e corrige problemas de consistência da instalação, como objetos ou referências inválidos ou ausentes. Nenhum dos dois comandos é uma alternativa a --delete-data para apagar os dados de um aplicativo. (Documentação de uso do Flatpak; referência de comandos do Flatpak)