selinux通过类型强制（te）策略限制数据库进程越权行为，核心在于进程域（如mysqld_t）与文件/端口上下文类型（如mysqld_db_t）必须匹配；手动迁移数据目录后未用semanage fcontext定义规则并restorecon重标，或关键布尔值（如mysqld_connect_any）未启用，将导致permission denied。
SELinux 能有效限制数据库进程的越权行为，但直接套用默认策略大概率导致服务启动失败或连接拒绝——关键不在“开不开”，而在“怎么标、怎么调、怎么查”。
为什么 mysqld 或 postgresql 启动就报 Permission denied？
不是权限位错了，是 SELinux 拒绝了进程对关键路径的访问。常见现象包括：mysqld 无法绑定 /var/lib/mysql、postgresql 读不到 /var/lib/pgsql/data、监听端口被拦（如 3306 或 5432）、甚至日志写入 /var/log/mariadb/ 失败。
根本原因是：数据库进程运行在自己的域（如 mysqld_t 或 postgresql_t），而文件/端口/目录的安全上下文类型（type）不匹配策略规则。比如手动挪过数据目录，restorecon 没跑，上下文还是 default_t 或 var_lib_t，策略根本不认。
- 先确认进程实际运行域：
ps -eZ | grep -E "(mysqld|postgres)" - 再查目标路径上下文：
ls -Z /var/lib/mysql（对比是否为mysqld_db_t） - 检查端口标签：
semanage port -l | grep -E "(3306|5432)"，应显示mysqld_port_t或postgresql_port_t
如何给数据库文件和端口打上正确 SELinux 标签？
不能靠 chcon 临时改——重启或 restorecon 会覆盖。必须用 semanage fcontext 持久注册规则，再触发重标。
以 MySQL 为例：
PyCharm 2026.2.0.1 Linux版提供 JetBrains 官方 2026.2.0.1 版本安装包，适合需要指定 PyCharm 版本进行 Python 项目开发、运行和调试的用户。
- 若数据目录已迁至
/data/mysql：sudo semanage fcontext -a -t mysqld_db_t "/data/mysql(/.*)?" - 若自定义日志路径为
/data/logs/mysqld.log：sudo semanage fcontext -a -t mysqld_log_t "/data/logs/mysqld\.log" - 若监听非标端口如
3307：sudo semanage port -a -t mysqld_port_t -p tcp 3307 - 最后强制重标：
sudo restorecon -Rv /data/mysql /data/logs/
PostgreSQL 类似，把 mysqld_* 换成 postgresql_* 即可；注意正则中路径末尾的 (/.*)? 表示递归匹配子目录，\. 是转义点号。
哪些布尔值（booleans）必须检查？
SELinux 策略里有很多开关式布尔值，控制跨域访问能力。数据库常依赖以下几项：
-
mysqld_connect_any：允许mysqld主动连接任意网络地址（如远程主从同步） -
mysqld_can_network_connect_db：允许连接其他数据库服务（如联邦表） -
postgresql_can_rsync：PostgreSQL 使用 rsync 做流复制时需开启 -
daemons_use_tty：某些调试模式下，数据库进程需要分配伪终端（少见但可能报错）
查看当前状态：getsebool -a | grep -E "(mysql|postgres|daemon)"；启用某项：sudo setsebool -P mysqld_connect_any on（-P 表示永久生效）。
拒绝日志在哪？怎么快速定位问题？
别翻 /var/log/audit/audit.log 原始日志——太杂。用 ausearch 和 sealert 直接提取关键信息：
- 查最近 10 分钟数据库相关拒绝：
sudo ausearch -m avc -ts recent | grep -E "(mysqld|postgres)" - 生成人类可读分析：
sudo sealert -a /var/log/audit/audit.log | grep -A 10 "mysqld" - 如果看到
type=AVC msg=audit.*avc: denied.*scontext=system_u:system_r:mysqld_t:s0.*tcontext=system_u:object_r:var_lib_t:s0，说明目标文件类型是var_lib_t，但mysqld_t不被允许访问它——该补semanage fcontext规则了
真正容易被忽略的是：SELinux 对 socket 文件（如 /var/lib/mysql/mysql.sock）、PID 文件、甚至 tmpfs 挂载点都有上下文要求。一次配置不全，可能多个地方同时报错，得逐个用 ls -Z 对齐。
