selinux上下文管理需先确认状态（getenforce/sestatus），再用ls -z、ps -z查看文件与进程上下文，chcon临时修改，semanage fcontext+restorecon永久设置或恢复默认上下文。

如果您需要确认文件、目录或进程是否具有正确的SELinux安全上下文标签，以确保其能被对应服务正常访问，则可能是由于上下文类型不匹配导致权限拒绝。以下是查看与管理SELinux上下文的具体操作步骤：

一、查看SELinux当前运行状态

在执行任何上下文操作前，需确认SELinux是否启用及其工作模式。该信息决定后续命令是否生效及日志行为。

1、运行 getenforce 命令，直接输出当前模式（Enforcing/Permissive/Disabled）。

2、运行 sestatus 命令，获取完整状态信息，包括策略类型、加载策略名、当前模式及配置文件设定模式。

3、若输出中 SELinux status: disabled，则所有上下文相关命令均无效，必须先启用SELinux并重启或切换至Permissive/Enforcing模式。

二、查看文件与目录的安全上下文

SELinux为每个文件和目录分配唯一安全上下文，格式为 user:role:type:level[:category]，其中 type 字段对访问控制起决定性作用。

1、使用 ls -Z 查看当前目录下所有文件的完整上下文。

2、使用 ls -Zd /path/to/dir 查看指定目录自身的上下文（不递归子项）。

3、使用 ls -Z /var/www/html/ 查看Web根目录内各文件的上下文，验证是否均为 httpd_sys_content_t 类型。

三、查看进程的安全上下文

进程运行时也携带安全上下文，其 role 和 type 必须与目标文件 type 兼容，否则访问被拒。查看进程上下文可定位服务受限根源。

1、启动目标服务，例如执行 systemctl start httpd。

2、运行 ps -Z -C httpd，显示 httpd 主进程的完整上下文。

3、运行 ps auxZ | grep nginx（适用于非标准进程名），过滤并确认其上下文是否为 system_r:httpd_t 或对应服务类型。

四、临时修改文件或目录的上下文类型

chcon 命令用于即时调整单个或批量文件的上下文，但该修改在 restorecon 或系统重标签后会被覆盖，适用于快速验证或临时调试。

1、将单个文件类型设为 public_content_t：执行 chcon -t public_content_t /var/ftp/file。

2、递归修改整个目录及其内容：执行 chcon -R -t httpd_sys_content_t /opt/webapps/。

3、按参照文件复制上下文：执行 chcon --reference=/var/www/html/index.html /tmp/test.html。

五、永久设置目录默认上下文规则

semanage fcontext 用于定义路径匹配规则，使 restorecon 在执行时自动应用指定上下文，该规则在系统重标签或手动恢复时持久生效。

1、添加新规则：执行 semanage fcontext -a -t httpd_sys_content_t "/opt/myweb(/.*)?"，其中正则表达式匹配目录及全部子路径。

2、验证规则是否写入：执行 semanage fcontext -l | grep myweb，确认条目存在且 type 正确。

3、应用规则到实际文件系统：执行 restorecon -RvvF /opt/myweb，-vv 显示详细变更，-F 强制覆盖现有上下文。

六、恢复文件或目录的默认上下文

当误改上下文或策略更新后，可使用 restorecon 将文件还原为策略预设的默认类型，此操作依据 /etc/selinux/targeted/contexts/files/file_contexts 中的规则。

1、恢复单个文件：执行 restorecon -v /var/www/html/index.html，-v 输出实际更改。

2、递归恢复整个目录：执行 restorecon -Rv /var/www/html/。

3、强制重置并忽略异常：执行 restorecon -RvvF /home/user，适用于上下文严重错乱场景。