selinux三种模式为disabled、permissive、enforcing：disabled彻底卸载内核模块，permissive仅记录不拦截，enforcing实时拦截并记日志；可通过sestatus或getenforce查看当前模式。
直接看 error_log 里有没有 SELinux 相关提示，是最准的判断方式。如果日志中出现 “SELinux is preventing” 或者 “avc: denied” 字样，基本就能确认是它在拦截。
查 SELinux 是否启用并处于 enforcing 模式
运行命令确认当前状态：
- sestatus —— 若输出为 enforcing，说明 SELinux 正在生效并可能拦截访问
- getenforce —— 快速返回 Enforcing、Permissive 或 Disabled
看 error_log 里有没有明确的 AVC 拒绝记录
SELinux 拦截不会直接写 “403”，而是记录在系统安全日志或 Nginx error_log（取决于配置）中。优先检查：
- ausearch -m avc -ts recent | grep nginx —— 查最近的 SELinux 拒绝事件，常含具体路径、操作（read/write）、被拒类型（file、dir）
- tail -n 50 /var/log/nginx/error.log —— 找类似 “SELinux is preventing /usr/sbin/nginx from read access on the file xxx” 的条目
验证是否真是 SELinux 导致的 403
临时切换为 permissive 模式测试：
- sudo setenforce 0 —— 立即关闭强制策略（不重启服务）
- 刷新网页或用 curl 测试静态资源，如能正常返回，就坐实是 SELinux 拦截
- 注意：这只是验证手段，切勿长期保持 setenforce 0
修复：给 Web 根目录打上正确 SELinux 上下文标签
标准做法是把网站文件目录标记为 httpd_sys_content_t（Nginx 在 SELinux 中复用 Apache 的策略标签）：
- sudo semanage fcontext -a -t httpd_sys_content_t "/your/web/root(/.*)?" —— 添加永久规则（替换 /your/web/root 为实际路径）
- sudo restorecon -Rv /your/web/root —— 立即应用新标签
- 若 semanage 命令不存在（如最小化安装的 CentOS），先装：yum install -y policycoreutils-python
补充：常见误配场景
有些情况容易被忽略，但同样触发 SELinux 拦截：
- Web 目录放在非标准路径（如 /data/www、/home/user/html），默认无对应策略
- Nginx 绑定非标准端口（如 12000），需额外放行：semanage port -a -t http_port_t -p tcp 12000
- 启用了 httpd_can_network_connect 布尔值来“绕过”端口绑定失败，但这会放宽出站连接权限，不推荐作为主方案
