Linux文件权限与SELinux上下文是两套独立且必须协同工作的访问控制机制：传统权限（rwx）基于UID/GID实现DAC，SELinux上下文（user:role:type:level）基于策略规则实现MAC，二者缺一不可。
Linux文件权限和SELinux上下文是两套独立但必须协同工作的访问控制机制：传统权限（rwx）决定“谁可以读写执行”，SELinux上下文则进一步限定“在什么安全策略下允许该操作”。仅满足文件权限，不等于能成功访问；SELinux拒绝时，即使权限全开也会被拦截。
理解两层控制的分工
Linux传统权限（user/group/other + rwx）作用于进程的UID/GID，属于DAC（自主访问控制）；SELinux上下文（user:role:type:level）属于MAC（强制访问控制），由策略规则引擎实时校验。例如：
- 一个Web进程（httpd_t域）试图读取/var/www/html/index.html，需同时满足：
– 文件属主/组/其他权限允许读（如644）；
– SELinux策略中存在allow httpd_t httpd_sys_content_t:file read;规则；
– 文件实际标签为system_u:object_r:httpd_sys_content_t:s0。 - 若手动chmod 777 /etc/shadow，普通用户仍无法读取——因为SELinux类型（shadow_t）默认禁止所有非特权域访问。
检查与诊断权限冲突的常用命令
当操作失败（如Permission denied），需并行排查两层：
- ls -l 查看传统权限、属主、属组；
- ls -Z 查看SELinux上下文（user:role:type:level）；
- ps -eZ | grep 进程名 查看进程当前上下文；
- ausearch -m avc -ts recent 或 journalctl -t setroubleshoot 查看被SELinux拒绝的详细记录；
- sestatus -v 确认SELinux是否启用及当前模式（enforcing/permissive/disabled）。
安全地调整上下文以匹配用途
修改SELinux上下文应优先使用预定义策略工具，而非硬编码type：
- 对Web内容目录，用sudo semanage fcontext -a -t httpd_sys_content_t "/var/www/html(/.*)?"，再运行sudo restorecon -Rv /var/www/html；
- 临时调试可用chcon -t httpd_sys_content_t file，但重启或restorecon会覆盖；
- 避免直接chcon -t unconfined_t或chcon -t container_t等宽泛类型，易绕过策略保护；
- 新增服务时，优先查seinfo -t | grep 关键词找已有type，再用semanage permissive -a 新type临时放行并收集日志，最后编写自定义模块。
权限与上下文变更后的验证要点
每次调整后，需模拟真实场景验证，而非仅检查命令返回值：
- 用sudo -u apache cat /path/to/file（或对应服务用户）测试读操作；
- 启动服务后，用curl或客户端实际请求，观察是否返回预期内容；
- 检查/var/log/audit/audit.log是否仍有avc denial；
- 确认getenforce仍为enforcing——permissive模式下SELinux不拦截，易误判问题已解决。
