selinux拦截容器挂载时只报permission denied或i/o error，排查需先用sudo setenforce 0临时禁用并验证，再通过ausearch查avc拒绝日志，最后用semanage fcontext+restorecon或:z挂载标签修复上下文。
SELinux 拦截容器挂载宿主机目录时，通常不报明确错误，只在容器内出现 Permission denied 或 I/O error，而宿主机上 ls -ld 看权限明明正常。排查需绕过“表象权限”，直击 SELinux 的强制策略层。
确认是否 SELinux 导致拦截
最快速验证方式是临时禁用 SELinux 策略 enforcement：
- 运行
sudo setenforce 0（立即切换为 permissive 模式） - 重新启动容器并测试挂载目录读写是否恢复正常
- 若问题消失，基本可锁定为 SELinux 干预；测试完务必执行
sudo setenforce 1恢复 enforcing 模式
查看 SELinux 拒绝日志
SELinux 拦截会记录到 audit 日志中，用以下命令提取最近的拒绝事件：
-
sudo ausearch -m avc -ts recent | audit2why—— 显示被拒操作的原因及建议修复方式 -
sudo ausearch -m avc -ts today | grep -i "docker\|container"—— 筛选与容器相关的 AVC 拒绝条目 - 若未安装
audit2why，可先运行sudo yum install policycoreutils-python-utils（RHEL/CentOS）或sudo apt install auditd（部分 Debian/Ubuntu）
修复挂载路径的 SELinux 上下文
容器挂载目录默认继承宿主机文件系统上下文，但 Docker 容器进程运行在 svirt_sandbox_t 域，需要目标路径标记为可被沙箱访问：
- 给目录打持久化标签：
sudo semanage fcontext -a -t svirt_sandbox_file_t "/path/to/mount(/.*)?" - 应用新标签：
sudo restorecon -Rv /path/to/mount - 或启动容器时加
:Z（小写 z 表示私有标签，大写:z表示共享标签）：docker run -v /host/dir:/container/dir:Z image（仅限 SELinux 启用环境）
检查容器进程与文件上下文匹配性
运行中的容器进程和挂载文件的 SELinux 类型必须兼容：
- 查容器进程上下文：
ps -eZ | grep docker，确认主进程类型含svirt_sandbox_t - 查挂载目录上下文：
ls -ldZ /host/dir，应显示svirt_sandbox_file_t或container_file_t - 若显示
unconfined_u:object_r:default_t:s0等非沙箱类型，说明上下文未更新，需执行restorecon步骤
