chcon -t 用于修改文件SELinux类型字段，最常用且安全精准；需sudo权限，仅临时生效，不改变user/role/level。
chcon -t 修改单个文件的 type 字段最常用
绝大多数场景下，你只需要改 type 字段（比如让 Apache 能读某个 HTML 文件），chcon -t 就够了。它不碰 user、role、level，安全又精准。
常见错误现象：执行后 ls -Z 看不到变化 —— 很可能是没加 sudo，普通用户无权修改安全上下文。
- 先确认当前上下文：
ls -Z /path/to/file - 改成 Web 内容类型：
sudo chcon -t httpd_sys_content_t /path/to/file - 改成 MySQL 数据库文件类型：
sudo chcon -t mysql_db_t /var/lib/mysql/mydb/mytable.frm
注意：chcon 改的是即时生效的临时标签，不是永久策略。系统重标（如执行 restorecon）或重装策略后会丢。
chcon 同时改多个字段要带全参数
如果你真需要调整 user 或 role（比如给系统配置文件设 system_u:object_r:etc_t:s0），就不能只用 -t，得把各字段显式写出来。
容易踩的坑：漏掉 -r object_r —— 很多文件角色不是默认的 object_r，但 SELinux 强制要求角色存在，缺了会报错或无效。
- 完整写法示例：
sudo chcon -u system_u -r object_r -t etc_t /etc/myapp.conf - 只改 user 和 type（保留原 role/level）：
sudo chcon -u system_u -t etc_t /etc/myapp.conf - 用参考文件复制上下文：
sudo chcon --reference=/etc/hosts /etc/myapp.conf
为什么不用 restorecon 直接恢复？
restorecon 是“按策略还原”，不是“手动设置”。它查 semanage fcontext 里定义的规则，然后把文件打回对应标签。如果你还没加规则，restorecon 就只会打回系统默认值（比如 default_t），不是你想要的 httpd_sys_content_t。
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
所以顺序很重要：想长期生效，必须先 semanage fcontext -a -t ... 加规则，再 restorecon；临时调试或单次修复，直接 chcon 更快。
性能影响几乎为零 —— chcon 只写文件扩展属性，不扫描目录、不加载策略，毫秒级完成。
chcon 执行失败的几个典型错误信息
看到这些提示别硬试，先看原因：
-
chcon: failed to change context...：路径不存在，或文件被进程占用（如正在被 nginx 打开） -
chcon: invalid context：输入的上下文格式错，比如少冒号、多空格，或type名字拼错（httpd_sys_content_t不是httpd_content_t） -
command not found：系统没装policycoreutils包，CentOS/RHEL 用sudo yum install policycoreutils，Ubuntu/Debian 用sudo apt install policycoreutils
真正容易被忽略的是：SELinux 模式本身。如果 getenforce 返回 Disabled，chcon 会静默成功但实际不生效 —— 因为底层没 SELinux 引擎在跑。
