selinux拦截是apache出现403/500或“permission denied”的常见原因，需查audit.log中avc: denied条目，用setenforce 0快速验证，再通过ls -z、chcon、semanage fcontext、audit2allow等工具修复上下文或策略。
Apache 在 Linux 上出现 403、500 或“Permission denied”等异常，SELinux 拦截是常见但易被忽略的原因。它不报错在 Apache 日志里，而是静默拒绝系统调用——所以不能只看 /var/log/httpd/error_log，得查 SELinux 的审计日志。
确认是不是 SELinux 导致的问题
先做快速验证，避免误判：
- 临时切换 SELinux 到 permissive 模式：
sudo setenforce 0 - 刷新网页或重试操作（如 PHP 写文件、访问新目录）
- 如果问题消失，基本可断定是 SELinux 干预；恢复 enforcing 模式：
sudo setenforce 1 - 再运行
sestatus -v确认当前状态和上下文配置是否启用
查看具体的拒绝记录
SELinux 的拦截细节全在审计日志里，重点看 avc: denied 条目：
- 查最近的拒绝事件：
sudo ausearch -m avc -ts recent | audit2why - 或直接过滤 httpd 相关：
sudo grep httpd /var/log/audit/audit.log | audit2why - 更直观的方式：
sudo journalctl -t setroubleshoot | grep -A 5 "httpd" - 日志中关键字段：
scontext（Apache 进程上下文，通常是system_u:system_r:httpd_t:s0），tcontext（目标文件/端口的上下文），tclass（资源类型，如 file、dir、port），perm（被拒操作，如 read、write、bind）
修复文件或目录的安全上下文
多数问题源于自定义路径（如 /srv/myapp 或 /home/web）未打上正确的 SELinux 类型：
- 查看当前上下文：
ls -Z /path/to/your/dir - 若显示
default_t或user_home_t，需改为 Web 可读类型：sudo chcon -R -t httpd_sys_content_t /path/to/dir - 如需写入（如上传目录、缓存），改用可写类型：
sudo chcon -R -t httpd_sys_rw_content_t /path/to/writable - 永久生效（推荐）：
sudo semanage fcontext -a -t httpd_sys_content_t "/path/to/dir(/.*)?"，再执行sudo restorecon -Rv /path/to/dir
检查端口、布尔值和其他策略项
除了文件上下文，还有几类常见拦截点：
-
非标准端口被拦：若 Apache 改监听 8000、8081 等，默认
http_port_t不包含它们。添加方式：sudo semanage port -a -t http_port_t -p tcp 8081 -
关键布尔值关闭：比如 CGI、PHP socket、网络连接等。查已启用项：
getsebool -a | grep httpd；开启常用项：sudo setsebool -P httpd_can_network_connect on、httpd_can_sendmail on、httpd_read_user_content on -
动态生成策略（慎用但有效）：从审计日志提取规则：
sudo grep httpd /var/log/audit/audit.log | audit2allow -M mypolicy，再安装：sudo semodule -i mypolicy.pp。注意该策略应最小化，避免过度放权
