用getenforce查看当前模式（enforcing/permissive/disabled），sestatus获取完整状态（策略类型、启用状态、版本）；临时切换用setenforce 0/1，永久修改需编辑/etc/selinux/config并重启。
SELinux当前状态怎么看？别猜，用命令直接查
刚接手一台RHEL/CentOS或Fedora机器，第一件事不是改配置，而是确认SELinux到底在不在干活。很多人卡在“为什么权限明明给了却拒绝访问”，结果发现getenforce返回Disabled——根本没开。
-
getenforce：只看当前运行模式（Enforcing/Permissive/Disabled） -
sestatus：更全，能看到策略类型（如targeted）、启用状态、加载的策略包版本 - 如果
sestatus报错或提示SELinux status: disabled，说明内核没加载模块，setenforce会直接失败，必须改配置+重启
临时切换模式救急，但别当长期方案
服务起不来、日志里一堆avc: denied？先切到Permissive验证是不是SELinux拦的——这是最快速的归因手段。
- 临时设为宽容模式：
setenforce 0（立刻生效，无需重启） - 临时切回强制模式：
setenforce 1 - ⚠️注意：
setenforce不持久，重启就还原。想永久生效，必须编辑/etc/selinux/config，把SELINUX=改成enforcing或permissive，然后重启 - 别在生产环境长期跑
Permissive——它只记日志不拦截，等于裸奔还假装有监控
文件访问被拒？八成是上下文（context）不对
你chown、chmod全对了，ls -Z一看，文件上下文却是unconfined_u:object_r:user_home_t:s0，而Web服务要的是system_u:object_r:httpd_sys_content_t:s0——这就必然被拒。
- 查当前上下文：
ls -Z /path/to/file - 临时修正（重启后失效）：
chcon -t httpd_sys_content_t /var/www/html/index.html - 永久修正（推荐）：
semanage fcontext -a -t httpd_sys_content_t "/var/www/html(/.*)?"，再执行restorecon -Rv /var/www/html - ⚠️坑点：
cp复制文件会继承源文件上下文，mv则保留原上下文；新建文件默认按父目录策略派生，不是“自动正确”
端口绑定失败？SELinux默认不认你换的端口
把Nginx从80改成8080，启动报bind: Permission denied，netstat -tuln确认端口空闲——十有八九是SELinux端口策略锁死了非标准端口。
- 查当前允许的HTTP端口：
semanage port -l | grep http_port_t（通常只列80,443,488,8008,8009,8443） - 给8080加白：
semanage port -a -t http_port_t -p tcp 8080 - 删错可回退：
semanage port -d -t http_port_t -p tcp 8080 - ⚠️注意：
semanage操作需root；若提示command not found，先装policycoreutils-python-utils（RHEL 8+/CentOS 8+）或policycoreutils-python（旧版）
/var/log/audit/audit.log或/var/log/messages里。真要深挖，ausearch -m avc -ts recent比翻日志快得多。
