ClamAV的On-Access扫描需手动启用并严格配置：必须开启clamonacc、设置OnAccessIncludePath与OnAccessPrevention、确保fanotify支持、SELinux策略放行、目录权限正确，四者缺一不可。
clamd必须启用OnAccess模式才能接住inotify事件
ClamAV默认不监听文件变化，clamd要支持秒级响应上传行为，必须开启On-Access扫描（即实时监控），否则inotify只负责“通知”，没人“处理”。这个功能不是默认打开的，且依赖内核fanotify或inotify机制，在CentOS 7/RHEL 7上需确认内核版本 ≥ 3.8，并启用clamonacc子进程。
关键配置在/etc/clamd.d/scan.conf中：
- 取消注释并设为
OnAccessIncludePath /var/www/uploads（替换成你的真实上传目录） - 确保
OnAccessPrevention yes（触发时自动阻断写入） - 设置
OnAccessExcludeUname clamav避免自身进程被误拦 - 必须有
LocalSocket /var/run/clamd.scan/clamd.sock且权限为660、属主clamav:clamav - 重启服务：
systemctl restart clamd@scan，再用clamdtop确认OnAccess状态为enabled
inotifywait不能直接调用clamscan，得走clamdscan
很多人写脚本用inotifywait -m -e create,move_to /path | xargs -I{} clamscan {}，这会失败——clamscan每次加载病毒库要2–5秒，且无权限读取部分临时文件（如PHP上传的/tmp/php*）。真正低延迟的路径是让inotifywait只做“事件捕获”，把文件路径交给已驻留内存的clamdscan。
正确做法示例（保存为/usr/local/bin/clam-inotify.sh）：
#!/bin/bash
INOTIFY_PATH="/var/www/uploads"
while inotifywait -q -m -e create,move_to "$INOTIFY_PATH"; do
find "$INOTIFY_PATH" -type f -mmin -1 -print0 2>/dev/null | \
xargs -0 -r clamdscan --fdpass --stream --no-summary 2>/dev/null | \
grep -q "FOUND" && logger -t clam-inotify "Malware detected in $INOTIFY_PATH"
done
注意：--fdpass让clamdscan通过文件描述符安全读取，绕过权限检查；--stream启用流式扫描，适合刚写入未关闭的文件。
常见失败：文件还在写入就扫，结果报“Empty file”或跳过
inotify的create事件在文件刚创建时就触发，此时内容可能为空或未落盘。move_to稍好，但PHP/Python上传仍常出现“先mv再写满”的情况。真实生产中必须加等待逻辑：
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
- 不用
sleep 1这种固定延时，改用stat -c "%Y" file比对修改时间戳是否稳定 - 或直接依赖
clamd自身的OnAccessMaxFileSize和OnAccessExcludePath做过滤，避开/tmp类临时目录 - 更稳妥的做法是：只监控最终落地目录（如
/var/www/uploads/finished/），由上游业务逻辑保证文件mv完成后再触发
权限和SELinux是静默杀手
即使所有配置看起来都对，clamdscan仍可能返回空结果或Permission denied——根本原因常是SELinux阻止了clamav用户访问目标目录上下文。检查命令：ls -Z /var/www/uploads，若显示unconfined_u:object_r:httpd_sys_content_t:s0，则需放行：
semanage fcontext -a -t antivirus_var_lib_t "/var/www/uploads(/.*)?"restorecon -Rv /var/www/uploads
另外，clamav用户必须对上传目录有r-x权限（不是rw-），且若目录属组为www-data或apache，记得把clamav加入该组：usermod -a -G www-data clamav。
真正难搞的不是启动服务，而是让clamd在文件写入最后一字节的瞬间准确捕获并完成扫描——这要求OnAccess配置、内核支持、SELinux策略、目录权限四者严丝合缝。少一个，就变成“以为在实时，其实漏扫”。
