结论：临时禁用用 setenforce 0，永久禁用须修改 /etc/selinux/config 中 selinux=disabled 并重启；不重启配置无效。
直接说结论：临时关用 setenforce 0，永久禁用必须改 /etc/selinux/config 并重启；不重启，SELINUX=disabled 就是白写。
怎么快速确认 SELinux 正在拦你？
别猜，先看实时状态：
-
getenforce输出Enforcing→ 它正在强制拦截 -
getenforce输出Permissive→ 策略还在加载，但只记日志不拦截 -
getenforce输出Disabled或报错 → 已卸载，不是它的问题
再查日志佐证：ausearch -m avc -ts recent | head -5 如果有输出，基本坐实是 SELinux 拦的 —— 常见于 Nginx 访问自定义路径、Docker 挂载卷失败、NFS 权限拒绝等场景，错误里往往只有 Permission denied，没别的线索。
临时关闭：为什么只能用 setenforce 0？
这是唯一安全、内核原生支持的运行时切换方式。其他操作要么无效，要么埋雷：
-
echo 0 > /sys/fs/selinux/enforce→ 部分内核版本不认，且 systemd 可能在下次服务 reload 时重置它 -
setenforce permissive→ 语法错误，setenforce只接受0或1，或字符串Enforcing/Permissive（注意大小写） - 非 root 用户执行
setenforce 0→ 直接报Permission denied - 最小化安装或某些容器镜像里
setenforce命令根本不存在 → 说明内核编译时就没启用 SELinux 支持，不用关
执行后立刻生效：getenforce 应返回 Permissive，此时服务若恢复正常，就能锁定问题根源。
永久禁用：改配置 ≠ 生效，重启才是硬门槛
编辑 /etc/selinux/config，把这一行：
SELINUX=enforcing
改成：
SELINUX=disabled
注意三点：
- 不是注释掉，也不是改成
permissive——permissive仍加载策略、占内存、写 AVC 日志 - 路径只认
/etc/selinux/config；/etc/sysconfig/selinux是软链接，改它也行，但本质一样 - 改完必须
reboot或init 6，systemctl reboot也行 —— 不重启，getenforce还可能显示Enforcing或Permissive
重启后验证，别信 getenforce 单一输出（它在 disabled 下有时返回空）：
-
sestatus输出中SELinux status:必须是disabled -
ls /sys/fs/selinux应报No such file or directory -
grep "^SELINUX=" /etc/selinux/config应只输出SELINUX=disabled
容易被忽略的关键点
很多人改完配置就以为万事大吉，结果重启后还是 Enforcing：
-
sestatus -v里那句Mode from config file: enforcing是配置文件里的旧值，不是当前状态，别被它骗 - 有些云厂商镜像或最小化安装，
/etc/selinux/config权限是444（只读），得先chmod 644 /etc/selinux/config才能编辑 -
SELINUXTYPE=targeted这行不用动，它只控制策略范围，跟是否启用无关；但如果你把它删了或设为空，某些启动流程会 fallback 到 permissive - 改配置前建议备份：
cp /etc/selinux/config /etc/selinux/config.bak
真正禁用成功的标志，是 /var/log/audit/audit.log 里不再新增 AVC 日志，且 /sys/fs/selinux 目录彻底消失。
