apache报403或(13)permission denied时，selinux常为真凶：先查error_log定位现象，再用ausearch+audit2why分析审计日志确认拦截细节，依上下文类型（httpd_sys_content_t/网络布尔值等）精准修复，最后ls -z验证并重启服务。
Apache 中遇到访问报错，尤其是 (13) Permission denied 或 Forbidden，但文件权限、配置都看似正确时，SELinux 很可能在背后拦截。排查的关键不是跳过日志直接关 SELinux，而是让日志“说话”——从错误日志定位现象，再用审计日志确认拦截细节。
先看 Apache 错误日志，锁定可疑线索
打开 Apache 自己的错误日志，快速识别是否与权限相关：
- Debian/Ubuntu：
sudo tail -n 20 /var/log/apache2/error.log - CentOS/RHEL：
sudo tail -n 20 /var/log/httpd/error_log
重点找含以下关键词的行：
[error]、[crit]、Permission denied、Cannot open、failed to open、AH00037（常见于读取配置或文件失败）。
例如：[crit] [core:error] [pid 1234] (13)Permission denied: AH00037: Unable to open logs 或 [error] [php:error] [pid 5678] file_put_contents(/var/www/html/test.txt): failed to open stream: Permission denied。
这类提示说明 Apache 进程已尝试操作，但系统级拒绝了——此时就要怀疑 SELinux。
再查 SELinux 审计日志，确认拦截动作
Apache 日志只说“不行”，审计日志才告诉你“为什么不行”。运行：
-
sudo ausearch -m avc -ts recent | audit2why（查看最近被拒操作的通俗解释） - 或更精准地过滤 Apache：
sudo ausearch -m avc -ts recent -c httpd | audit2why
输出中会出现类似这样的关键信息：avc: denied { read } for pid=1234 comm="httpd" name="config.json" dev="sda1" ino=5678 scontext=system_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:user_home_t:s0 tclass=file
这里明确指出：
- scontext 是 Apache 进程的安全上下文（httpd_t）
- tcontext 是目标文件的安全上下文（user_home_t）
- denied { read } 表示读操作被策略禁止
这说明问题不在 chmod，而在类型不匹配——user_home_t 默认不允许 httpd_t 访问。
结合上下文和布尔值，判断修复路径
看到审计日志后，分两类处理：
-
如果是静态资源（如 HTML、图片、CSS）被拒：通常只需修正文件/目录的安全上下文为
httpd_sys_content_t：sudo semanage fcontext -a -t httpd_sys_content_t "/var/www/myapp(/.*)?"sudo restorecon -Rv /var/www/myapp -
如果是 PHP 写入、上传、缓存等需要写操作：必须用可写类型：
sudo semanage fcontext -a -t httpd_sys_rw_content_t "/var/www/myapp/uploads(/.*)?"sudo restorecon -Rv /var/www/myapp/uploads -
如果是反向代理、curl 请求外部服务失败（如 AH00957 + Permission denied）：这不是文件权限问题，而是网络连接被禁，需开启布尔值：
sudo setsebool -P httpd_can_network_connect 1
注意：所有 semanage 和 restorecon 命令都需 root 权限；-P 表示永久生效，避免重启后失效。
验证修复是否生效
改完别急着刷新网页，按顺序验证：
- 先确认上下文已更新：
ls -Z /var/www/myapp/index.html，应显示httpd_sys_content_t - 重启 Apache：
sudo systemctl restart apache2（Ubuntu）或sudo systemctl restart httpd（RHEL） - 重试请求，同时实时观察日志：
sudo tail -f /var/log/httpd/error_log和sudo ausearch -m avc -ts recent，确认不再出现新拒绝条目
如果仍报错，回到审计日志——可能还有其他路径或操作未覆盖，比如日志目录、临时文件夹、数据库 socket 文件等，需一并检查上下文和布尔值。
