在统信UOS中，需用ls -Z查看文件SELinux上下文以排查访问拒绝问题；-Z必须大写，-d用于查目录自身类型，-ZR结合head限制递归输出，default_t为异常信号，应通过semanage+restorecon永久修复，getfattr可验证SELinux扩展属性是否启用。
在统信UOS系统中确认某个配置文件或Web资源是否因SELinux类型不匹配导致访问被拒，必须直接查看其安全上下文，而不是仅依赖权限或属主信息。
用ls -Z命令查看单个文件的SELinux上下文
打开终端（Ctrl+Alt+T），输入：ls -Z /etc/hosts并回车。
这一步操作起来很简单，直接把路径填对就行。注意必须用大写的 【-Z】，小写 -z 在UOS当前版本（基于Debian 12）中已被弃用，执行后可能静默忽略或报错。
正常输出类似：-rw-r--r--. root root system_u:object_r:etc_t:s0 /etc/hosts，其中第三段 etc_t 就是决定该文件能否被服务进程读取的关键类型字段。
查看目录自身而非其内容的安全上下文
执行：ls -Zd /var/www/html。
【-d】选项不可省略，否则命令会列出目录下所有文件的上下文，容易淹没关键信息；而加了 -d 才能精准获取目录自身的类型，这对验证Web根路径策略是否生效至关重要。
若输出中类型字段为空或显示问号（?），说明SELinux未启用，或该目录所在文件系统挂载时未启用扩展属性（XATTR），需先运行 getenforce 确认状态。
递归查看并限制输出行数避免卡顿
第一步：执行 ls -ZR /opt/myapp | head -20。
第二步：观察前20行中是否有大量 default_t 类型——这是典型异常信号，表示这些文件未被SELinux策略覆盖，后续访问Apache或Nginx时大概率触发403错误。
第三步：如发现异常类型，不要直接用 chcon 临时修改，应优先用 semanage fcontext -a + restorecon -Rv 永久修复，否则重启或重装软件后上下文会还原。
用getfattr命令验证SELinux上下文是否存在
方法一：运行 getfattr -n security.selinux /etc/passwd。
方法二：若提示 No such attribute，说明该文件系统未启用SELinux扩展属性支持，即使SELinux内核已加载，也无法为文件打标签。
这通常发生在UOS安装时选择了非默认分区方案，或手动挂载了外部NTFS/exFAT设备——这类文件系统天生不支持XATTR，ls -Z 输出必然为空或问号。
