SELinux 强制模式下 Nginx 无法绑定 80/443 端口或访问网页文件，需配置端口类型、文件上下文及布尔值：用 semanage 添加/修改 http_port_t 端口，restorecon 修复目录上下文，setsebool 启用 httpd_can_network_connect 等布尔值，最后重启 Nginx。
在 CentOS/RHEL 系统中用 yum 安装 Nginx 后，若 SELinux 处于 enforcing 模式，Nginx 默认可能无法绑定到 80/443 端口或访问网页文件，这是 SELinux 的安全策略限制所致。关键不是关闭 SELinux，而是正确配置其上下文和布尔值。
确认 SELinux 当前状态和 Nginx 故障表现
先检查 SELinux 是否启用并运行在强制模式：
sestatus
如果输出中 Current mode: 是 enforcing，且 Nginx 启动失败（systemctl status nginx 显示 “Permission denied” 或 “Cannot assign requested address”），大概率是 SELinux 阻止了网络绑定或文件访问。
允许 Nginx 绑定非标准端口（如 80/443）
SELinux 默认只允许特定端口用于 http_port_t 类型。需将 80 和 443 显式加入该类型：
-
sudo semanage port -a -t http_port_t -p tcp 80（若提示已存在可跳过） -
sudo semanage port -m -t http_port_t -p tcp 443（确保 443 已标记为 http_port_t） - 验证：运行
semanage port -l | grep http_port_t，应看到http_port_t tcp 80, 443, 488, 8008, 8009, 8443
修复网页根目录的 SELinux 上下文
Nginx 默认服务目录（如 /usr/share/nginx/html 或自定义的 /var/www/html）必须有正确的文件上下文类型 httpd_sys_content_t（对静态内容）或 httpd_sys_rw_content_t（需写入时）：
- 查看当前上下文：
ls -Z /usr/share/nginx/html - 若类型不是
httpd_sys_content_t，重置为标准 Web 内容类型：sudo semanage fcontext -a -t httpd_sys_content_t "/usr/share/nginx/html(/.*)?" - 应用更改：
sudo restorecon -Rv /usr/share/nginx/html - 如需 PHP 或上传功能，对上传目录额外设置读写标签：
sudo semanage fcontext -a -t httpd_sys_rw_content_t "/var/www/html/uploads(/.*)?"，再执行restorecon
启用必要 SELinux 布尔值
某些功能需开启对应布尔开关，例如代理、PHP-FPM 通信、网络连接等：
- 允许 Nginx 作为代理发起出站连接（如反向代理到后端）：
sudo setsebool -P httpd_can_network_connect 1 - 允许 Nginx 连接网络服务器（如 FastCGI、upstream）：
sudo setsebool -P httpd_can_network_connect_db 1（如需连数据库） - 启用 CGI 脚本支持（不常用）：
sudo setsebool -P httpd_enable_cgi 1 - 查看所有相关布尔值：
getsebool -a | grep httpd
完成上述配置后，重启 Nginx：sudo systemctl restart nginx。如仍有问题，可用 sudo ausearch -m avc -ts recent 查看拒绝日志，针对性调整策略。
