selinux文件上下文出错最直接表现是服务访问失败且日志出现avc: denied；需先运行getenforce确认为enforcing模式，再用ls -z定位类型不匹配问题，最后用restorecon -rv按策略规则库递归恢复默认上下文。
SELinux 文件上下文出错，最直接的表现就是服务访问失败——比如网页打不开、FTP 传不了、数据库连不上，日志里反复出现 avc: denied。这不是权限没给够，而是安全标签“对不上号”。恢复上下文不是重装系统，而是一套可预测、可复现的操作流程。
确认 SELinux 是否真在起作用
别跳过这步。如果 SELinux 实际是 Disabled 或 Permissive，所有上下文命令都无效或不生效。
- 运行
getenforce：输出必须是 Enforcing 才说明策略正在强制执行 - 运行
sestatus：重点看 Current mode: 和 Policy from config file: 两行，确保策略类型（如 targeted）与当前模式匹配 - 若显示
Disabled，restorecon等命令不会做任何事，需先启用并重启
快速定位上下文错在哪
问题常出现在文件被移动（mv）或复制（cp）后。移动保留原始上下文，复制则继承目标目录上下文——但有时继承得不对。
- 查目标文件当前上下文：
ls -Z /var/www/html/index.html - 查目标目录应有上下文：
ls -Zd /var/www/html/（注意-d只看目录自身） - 典型错误场景：文件显示
admin_home_t或user_home_t，但目录是httpd_sys_content_t→ 类型不匹配，Apache 拒绝读取
用 restorecon 恢复默认上下文
restorecon 是核心工具，它不凭空猜测，而是严格对照系统预设规则库（/etc/selinux/targeted/contexts/files/file_contexts）来重置。
- 单个文件修复：
sudo restorecon /var/www/html/index.html - 整个目录递归修复：
sudo restorecon -R /var/www/html/ - 边执行边看变化（推荐调试时用）：
sudo restorecon -Rv /var/www/html/，会明确打印每个文件从什么类型改成了什么类型 - 强制覆盖（忽略缓存，确保完全重置）：
sudo restorecon -F /path，适用于规则已更新但旧上下文残留的情况
自定义路径需要永久规则
如果目录不在默认策略覆盖范围内（比如你新建了 /opt/myapp），restorecon 单次运行能改好，但下次创建新文件又会变回默认类型。
- 先添加永久规则：
sudo semanage fcontext -a -t httpd_sys_content_t '/opt/myapp(/.*)?'（(/.*)?表示该路径及其所有子项） - 再应用规则：
sudo restorecon -R /opt/myapp - 验证是否写入规则库：
sudo semanage fcontext -l | grep myapp
