restorecon命令是最直接有效的selinux文件上下文恢复方式，它依据/etc/selinux/targeted/contexts/files/file_contexts配置自动匹配并重置默认安全上下文，无需人工记忆原始标签。
SELinux 文件上下文出错，最直接有效的恢复方式是用 restorecon 命令按策略规则重置——它不依赖人工记忆原始标签，而是查 /etc/selinux/targeted/contexts/files/file_contexts 配置，自动匹配并写入默认上下文。
快速修复单个文件或目录
多数服务异常（如 Apache 报 403、vsftpd 拒绝访问）都源于个别文件上下文错乱。此时无需全盘扫描：
- 查看当前上下文：
ls -Z /var/www/html/index.html，若显示admin_home_t或user_home_t，就说明类型不对 - 立即恢复默认值：
sudo restorecon /var/www/html/index.html - 加
-v查看变更详情：sudo restorecon -v /var/www/html/index.html，输出类似Relabeled ... from admin_home_t to httpd_sys_content_t
批量恢复整个服务目录
部署新站点、解压包、或误用 cp 后，整个目录上下文可能集体偏移：
- 递归恢复并显示过程：
sudo restorecon -Rv /var/www/html - 只预览不执行（确认影响范围）：
sudo restorecon -Rvn /var/www/html - 排除特定子目录（如日志）：
sudo restorecon -Rv -e /var/www/html/logs /var/www/html
处理自定义路径（如 /opt/myapp）
系统默认策略不覆盖非标准路径，直接 run restorecon 无效，需先注册规则：
- 添加永久策略：用正则匹配整个目录树，
sudo semanage fcontext -a -t myapp_exec_t '/opt/myapp(/.*)?' - 再触发应用：
sudo restorecon -Rv /opt/myapp - 验证是否生效：
ls -Zd /opt/myapp应显示myapp_exec_t
配合备份与诊断的实用技巧
预防比修复更重要，日常可搭配以下操作：
- 备份当前上下文（迁移前或升级前）：
getfattr -r security.selinux -d /path > context.bak - 从备份恢复（仅限同策略环境）：
setfattr --restore=context.bak - 检查策略是否已加载该路径：
semanage fcontext -l | grep '/opt/myapp' - 临时切 permissive 模式排查：
sudo setenforce 0，确认是 SELinux 导致问题后再修复
