selinux强制访问控制的关键在于进程与文件安全上下文的类型匹配：必须启用enforcing模式，确保httpd_t等进程域与httpd_sys_content_t等文件类型一致，通过restorecon或semanage fcontext修正上下文，并依据audit.log中的avc拒绝日志精准排错。
配置 SELinux 安全上下文实现强制访问控制，关键不是“关掉它”，而是让进程和文件的标签匹配策略规则。只要类型（type）对得上、上下文一致、策略允许，访问就能通过；否则即使 root 权限也会被拒绝——这才是 MAC 的核心价值。
确认当前运行模式并启用强制控制
SELinux 必须处于 enforcing 模式才能真正阻断越权行为。宽容（permissive）只记录不拦截，禁用（disabled）则完全失效。
- 查看当前状态：
getenforce（应返回Enforcing） - 临时启用：
setenforce 1 - 永久生效：编辑
/etc/selinux/config，设为：SELINUX=enforcingSELINUXTYPE=targeted（主流发行版默认策略） - 注意：从
disabled切回enforcing后首次重启会自动重打全部文件上下文，耗时属正常现象，切勿中断。
识别并修正不匹配的安全上下文
越权失败最常见原因：服务进程的域（domain）与目标文件的类型（type）不匹配。比如 Apache 进程是 httpd_t，但网页文件却是 default_t 或 user_home_t，策略默认禁止访问。
linux-sysadmin
下载
Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...
- 查进程上下文：
ps -Z | grep httpd→ 看到类似system_u:system_r:httpd_t:s0 - 查文件上下文：
ls -Z /var/www/html/index.html→ 应为system_u:object_r:httpd_sys_content_t:s0 - 若类型不符（如显示
unconfined_u:object_r:user_home_t:s0），说明文件未被正确标记 - 恢复标准上下文：
restorecon -Rv /var/www/html/ - 手动修正（临时）：
chcon -t httpd_sys_content_t /path/to/file（仅限测试，重启后可能丢失）
自定义非标路径的上下文规则
当把 Web 内容放到 /opt/myapp 或数据库文件放在 /data/mysql 这类非默认路径时，restorecon 不会自动识别，必须显式声明。
- 先用
semanage fcontext -l | grep httpd查看已有规则 - 添加新路径规则：
semanage fcontext -a -t httpd_sys_content_t "/opt/myapp(/.*)?" - 应用规则：
restorecon -Rv /opt/myapp - 同理，对日志目录可设
httpd_log_t，对可写上传目录设httpd_sys_rw_content_t
用审计日志定位真实拒绝原因
被阻断的操作不会直接报“SELinux denied”，而是在 /var/log/audit/audit.log 记录 AVC（Access Vector Cache）拒绝事件。这是排错唯一可靠依据。
- 实时监控拒绝：
ausearch -m avc -ts recent | audit2why - 查某服务最近拒绝：
ausearch -m avc -svr httpd --start today - 生成修复建议：
ausearch -m avc -svr httpd | audit2allow -M myhttpd→ 生成myhttpd.pp模块 - 加载模块：
semodule -i myhttpd.pp（慎用，优先考虑修正上下文而非放宽策略）
