id -z 仅显示当前 shell 会话的 selinux 用户身份、角色、类型和敏感度，而非运行中进程的安全上下文；查看进程上下文须用 ps -z -c 进程名 或 ps auxz | grep 进程名。
你提到的 id -Z 实际上**不能查看进程的安全上下文**，它查看的是**当前 shell 会话（即当前登录用户）的 SELinux 用户身份和角色信息**，不是某个运行中进程的完整安全上下文（如 httpd、sshd 进程等）。这是个常见误解。
真正查看进程安全上下文的方法
要查一个正在运行的进程（比如 nginx、mysql、sshd）的完整 SELinux 安全上下文（含 user:role:type:sensitivity），必须用 ps 命令配合 -Z 选项：
-
查所有进程的上下文：
ps -eZ -
查指定进程（推荐）：
ps -Z -C httpd（查所有名为 httpd 的进程） -
结合 grep 精准定位：
ps auxZ | grep sshd（输出中第一列就是安全上下文）
例如：unconfined_u:system_r:sshd_t:s0-s0:c0.c1023 root 4471 ... /usr/sbin/sshd
其中 unconfined_u:system_r:sshd_t:s0-s0:c0.c1023 就是该 sshd 进程的完整安全上下文。
id -Z 是干什么的？
id -Z 显示的是**当前 shell 所属用户的 SELinux 上下文**，格式为：unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
-
user（如
unconfined_u）：SELinux 用户身份 -
role（如
unconfined_r）：角色，通常对应 shell 会话类型 -
type（如
unconfined_t）：域类型，决定该 shell 能启动哪些进程 -
sensitivity（如
s0-s0:c0.c1023）：多级安全（MLS）级别与类别
它反映的是你“以什么 SELinux 身份登录”，而不是你启动的某个服务进程的上下文。
为什么不能用 id -Z 查进程？
因为 id 是一个用户身份工具，只读取当前进程（shell）的凭证（credentials），而 SELinux 进程上下文由内核在 execve 时根据策略和父进程域类型动态派生。普通用户进程（如 bash）通常运行在 unconfined_t 域，但子进程（如 httpd）会被切换到受限域（如 httpd_t）——这个切换过程 id 不感知，也无权读取其他进程的内核安全标签。
快速验证是否启用 SELinux 并确认可用性
执行以下命令确保环境就绪：
-
getenforce→ 应返回Enforcing或Permissive -
sestatus -v→ 查看策略类型（如targeted）和状态详情 -
ps -Z | head -5→ 确认输出首列含冒号分隔的上下文字段
