semanage fcontext -a 添加永久上下文规则必须使用扩展正则表达式（如/path(/.*)?），否则仅作用于目录自身；真正生效需配合restorecon -Rv递归应用，chcon仅为临时修改。
semanage fcontext -a 添加永久上下文规则必须带正则
直接写 semanage fcontext -a -t httpd_sys_content_t /var/www/html 是无效的——它不会匹配子文件，后续 restorecon 也不会递归生效。SELinux 要求路径参数必须是扩展正则表达式，常见写法是加 (/.*)? 后缀。
这个后缀的意思是：匹配该路径本身，也匹配其下任意层级的文件和子目录。不加它，规则只对目录自身生效（类型为 dir），但里面所有文件仍保持旧上下文。
-
semanage fcontext -a -t httpd_sys_content_t '/var/www/html(/.*)?'✅ 正确 -
semanage fcontext -a -t httpd_sys_content_t '/var/www/html'❌ 不生效（或仅影响目录自身） - 单引号必须包裹路径，防止 shell 解析括号和问号
restorecon -Rv 是唯一能批量应用规则的命令
semanage fcontext 只是把规则写进策略数据库，不改变任何实际文件的上下文。真正“落地”的动作是 restorecon，而且必须加 -R（递归）和 -v（显示详情），否则你看不到效果，也容易误判是否成功。
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
-
restorecon -Rv /var/www/html会扫描该路径下所有文件，并按semanage fcontext -l中定义的规则重设上下文 - 如果之前没运行过
semanage fcontext -a，restorecon会按系统默认策略恢复（比如还原成default_t），不是清空或保留原值 - 执行后检查：用
ls -Z /var/www/html/index.html确认 type 字段是否已变成httpd_sys_content_t
chcon 和 semanage 的根本区别在持久性
chcon -t httpd_sys_content_t /path 立刻生效，但只是临时修改——只要触发 restorecon（比如系统更新、手动运行、或某些 RPM 安装脚本），就会被覆盖回默认上下文。而 semanage fcontext + restorecon 才是永久方案。
-
chcon适合调试或应急绕过，不适合生产环境长期使用 -
semanage fcontext规则存在/etc/selinux/targeted/contexts/files/file_contexts.local，重启、重装策略都不丢失 - 误加规则可用
semanage fcontext -d -t httpd_sys_content_t '/path(/.*)?'删除
常见失败原因：policycoreutils-python 没装或权限不足
CentOS/RHEL 7+ 默认不预装 semanage，报错 command not found 就是这个原因。另外所有操作必须用 root 权限，普通用户即使加 sudo 也常因 PATH 或 SELinux 策略限制失败。
- 先装依赖：
yum install -y policycoreutils-python（RHEL/CentOS 7/8）或dnf install -y policycoreutils-python-utils（RHEL 9+） - 确认 SELinux 处于 enforcing 或 permissive 模式：
getenforce返回Enforcing或Permissive，不能是Disabled - 如果
semanage fcontext -l报错Permission denied，说明当前 shell 上下文受限，换用sudo -i进入 root shell 再试
永久生效的关键不在“改一次”，而在“规则注册 + 主动刷新”；很多人卡在只运行了 semanage 却忘了 restorecon，或者用了 chcon 以为一劳永逸——这两类操作在重启或策略更新后都会失效。
