selinux策略优化是持续过程，需基于avc日志分析真实拒绝事件，用permissive模式调试并生成精准规则，精简冗余布尔值与权限，通过semanage永久配置上下文并确保文件系统支持。
SELinux策略审计与优化不是一次性配置任务，而是持续观察、分析和微调的过程。核心目标是让策略既足够严格以防范越权行为，又足够精准以保障业务正常运行。关键不在于堆砌规则，而在于理解服务真实行为并用最小权限覆盖它。
从审计日志入手定位真实问题
所有有效优化都始于真实拒绝事件。SELinux不会凭空报错，每次avc denied都是系统在告诉你“这里权限不够”。重点不是屏蔽日志，而是读懂它：
- 用ausearch -m avc -ts today提取当日全部拒绝记录，避免被历史噪音干扰
- 配合audit2why解析每条拒绝原因，它会直接说明“缺少哪类权限”或“类型不匹配”，比原始日志更易读
- 对高频出现的同一类拒绝（如多个文件被标记为unconfined_t却尝试访问数据库），说明上下文标签本身就有偏差，需回溯到文件创建或部署环节
用Permissive模式做无损诊断
直接切Enforcing调试新服务等于闭眼开车。Permissive模式是唯一能同时保安全、保功能、保日志的调试环境：
- 上线前先设setenforce 0，让服务完整跑一遍典型业务流（登录、上传、查询、导出）
- 再用ausearch -m avc -ts recent | audit2allow -M myapp_fix生成策略模块，这比凭经验写规则准确得多
- 特别注意：切换回Enforcing后若仍报错，大概率是进程启动时加载了旧二进制或缓存了旧上下文，需restorecon -Rv /path重置上下文
精简规则而非堆叠布尔值
布尔值（booleans）是快捷开关，但滥用会导致策略逻辑混乱。优化应优先聚焦规则本身：
- 用sesearch -A -s httpd_t -t var_log_t查清Web服务对日志目录的真实权限需求，删掉冗余的read或getattr规则
- 禁用未启用的服务策略模块：semodule -l | grep -i unused找出长期不用的模块，再用semodule -r module_name卸载
- 对自定义模块，坚持“一条规则解决一个问题”，避免audit2allow生成的宽泛规则（如允许all权限），手动拆解为read write等具体动作
让上下文管理自动化且持久
手动chcon改标签只能临时生效，重启或restorecon后容易失效。真正稳定的方案是把上下文规则写进策略：
- 为自定义路径添加永久上下文：semanage fcontext -a -t httpd_sys_rw_content_t "/opt/myapp/data(/.*)?"
- 立即应用并验证：restorecon -Rv /opt/myapp/data && ls -Z /opt/myapp/data
- 文件系统选xfs或ext4，它们原生支持扩展属性存储SELinux标签；避免在tmpfs或nfs上强加复杂上下文，这类场景更适合用布尔值临时控制
