selinux文件上下文自动恢复核心是策略驱动的批量重标定，主要通过restorecon命令和/.autorelabel机制实现：前者按/file_contexts规则匹配路径自动设标签，后者在启动时触发全盘restorecon -r /。
SELinux 文件上下文自动恢复，核心是让系统按预设策略自动把文件标签“拉回正轨”，而不是靠人工一条条改。关键不在于“自动”有多智能，而在于它是否触发了策略驱动的批量重标定机制。
restorecon 是最直接的自动恢复方式
它不是后台服务，而是命令行工具，但行为是“自动”的——你不用指定目标上下文，它查 /etc/selinux/targeted/contexts/files/file_contexts 策略库，直接匹配路径规则并应用。
- 单个文件： restorecon /var/www/html/index.html → 自动设为
httpd_sys_content_t - 整个目录（含子项）： restorecon -R /var/www/html
- 显示变更过程：加 -v 参数，比如 restorecon -Rv /home
- 强制覆盖（跳过判断）：加 -F，适合上下文严重错乱时
系统启动时自动重标：/.autorelabel
这是真正意义上的“自动恢复”场景，适用于整机上下文大面积失效，比如：
- 刚从其他系统复制大量数据过来
- SELinux 从 disabled 切回 enforcing 后首次启动
- 手动修改过策略但未及时 restorecon
操作很简单：在根分区下创建空文件 /.autorelabel，然后重启。内核检测到该文件后，会在 init 阶段自动执行全盘 restorecon -R /，完成后自动删除该文件。首次启动会明显变慢，属正常现象。
策略层自动继承与持久化
单纯用 chcon 临时改上下文，重启或 restorecon 后会丢失。要让“自动恢复”长期有效，得把规则写进策略：
- 先用 semanage 定义路径规则：semanage fcontext -a -t httpd_sys_content_t "/webapp(/.*)?"
- 再执行 restorecon -Rv /webapp 立即生效
- 此后只要该目录下新建文件，或运行 restorecon，都会按此规则自动打标
常见误操作导致需要恢复
很多上下文异常其实源于常规操作，而非配置错误：
- 用 cp 复制文件：默认不保留上下文（除非加 -Z 或 --preserve=context）
- 用 mv 移动跨文件系统：等同于 cp + rm，上下文丢失
- tar 解包未带 --selinux 参数
- 挂载 NFS/Samba 时未启用 context= 选项
