systemctl start mysqld失败主因是selinux enforcing模式下上下文不匹配和布尔值未启用；需执行getenforce确认模式，用semanage fcontext -a -t mysqld_db_t "/var/lib/mysql(/.*)?"配合restorecon -rv修复目录上下文，并启用setsebool -p mysqld_can_network on等必要布尔值。
为什么 systemctl start mysqld 会失败（SELinux 拒绝）
SELinux 处于 enforcing 模式时，mysqld 默认无法绑定 /var/lib/mysql 目录、监听 3306 端口，甚至读取配置文件都会被拒绝。日志里常见报错：AVC avc: denied { write } for pid=1234 comm="mysqld" name="mysql" dev="sda1" ino=123456 scontext=system_u:system_r:mysqld_t:s0 tcontext=system_u:object_r:default_t:s0 tclass=dir。这不是 MySQL 安装错了，是 SELinux 策略没适配。
不关 SELinux，怎么让 mysqld 正常运行
保留 SELinux 启用状态，只需三步：
- 确认当前模式：
getenforce应返回Enforcing - 给 MySQL 数据目录打上正确上下文：
semanage fcontext -a -t mysqld_db_t "/var/lib/mysql(/.*)?"，然后执行restorecon -Rv /var/lib/mysql - 允许 MySQL 绑定网络端口：
setsebool -P mysqld_can_network_connect on（必须加-P持久化） - 如需远程连接，还需开
mysqld_can_network_connect_db布尔值：setsebool -P mysqld_can_network_connect_db on
注意：semanage 命令在 CentOS/RHEL 上属于 policycoreutils-python-utils 包，若提示未找到，先运行 yum install -y policycoreutils-python-utils。
firewalld 和 SELinux 要同时处理
即使 SELinux 放行了，firewalld 仍可能拦截连接。别直接关防火墙，用以下命令放行：
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
- 开放端口：
firewall-cmd --permanent --add-port=3306/tcp - 重载规则：
firewall-cmd --reload - 验证：
firewall-cmd --list-ports应含3306/tcp
如果用了自定义配置文件（如 /etc/my.cnf 中绑定了 bind-address = 0.0.0.0），还要额外确保 mysqld_can_network_connect_db 已启用，否则 SELinux 会静默拒绝 socket 连接，Navicat 或 DBeaver 连不上但无明确错误提示。
my.cnf 配置与 SELinux 的隐性冲突
MySQL 配置中某些路径若不在默认策略覆盖范围内，SELinux 会拦住。典型例子：
-
pid-file = /var/run/mysqld/mysqld.pid：该路径默认属var_run_t，但mysqld_t不被允许写入，应改用/var/lib/mysql/mysqld.pid或手动打标：semanage fcontext -a -t mysqld_var_run_t "/var/run/mysqld(/.*)?"+restorecon -Rv /var/run/mysqld -
socket = /tmp/mysql.sock：/tmp是tmp_t类型，mysqld_t默认不可访问，建议改到/var/lib/mysql/mysql.sock并确保该路径已用mysqld_db_t标记
所有 semanage fcontext 规则必须配合 restorecon 才生效；只改配置不打标，服务照样起不来。
