SELinux布尔值是可动态开关的安全功能，按需开启、默认关闭、权限最小化；自定义策略用于细粒度控制，如非标准端口或路径；需先用getsebool或semanage查看状态，再分临时（setsebool）和永久（setsebool -p或semanage）设置；优先收紧网络外连、用户目录访问、脚本执行类高风险布尔值；布尔值无法解决时，通过ausearch和audit2allow生成自定义模块并加载，配合chcon设置正确上下文。
SELinux 布尔值是策略中可动态开关的安全功能，不改代码、不重载策略，就能快速适配业务需求。关键在于“按需开启、默认关闭、权限最小化”——既避免过度放行带来风险，也防止误拒影响服务。自定义策略则用于覆盖布尔值无法解决的细粒度控制场景，比如非标准端口、特殊路径或容器上下文。
查清当前状态再动手
先掌握现状，才能精准调整：
- 运行 getsebool -a 查看全部布尔值及其当前开关状态（on/off）
- 用 getsebool -a | grep httpd 快速筛选 Web 相关项，如
httpd_can_network_connect、httpd_read_user_content - 更清晰的结构化视图：运行 semanage boolean -l，它会同时显示当前值、默认值和简明说明
临时测试与永久设置必须分开
安全调整不能一步到位，必须分两步验证：
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
- 临时启用（重启失效）：setsebool httpd_enable_homedirs on
- 临时禁用：setsebool httpd_can_sendmail off
- 永久生效（写入策略数据库）：setsebool -p httpd_can_network_connect_db on
- 等价命令（推荐用于脚本）：semanage boolean -m --on httpd_disable_trans
优先收紧高频高风险布尔值
不是所有布尔值都需要动，聚焦以下三类最易出问题也最需管控的项：
-
网络外连类：如
httpd_can_network_connect（Apache 主动连外部）、httpd_can_network_connect_db（连远程数据库），非必要保持 off -
用户目录访问类：如
httpd_read_user_content（读取 ~/public_html）、httpd_enable_homedirs，若不用个人站点，一律 off -
脚本执行类：如
httpd_can_execmem（允许内存执行代码）、httpd_can_network_relay（代理转发），存在明显提权风险，除非明确需要，否则禁用
自定义策略补位布尔值做不到的事
当布尔值已开但服务仍报错（如 AVC denied），说明策略本身未覆盖该操作。此时需自定义策略模块：
- 从审计日志提取拒绝事件：ausearch -m avc -ts recent | audit2allow -M mynginx
- 生成并加载模块：semodule -i mynginx.pp
- 适用于非标准路径（如 /opt/app/logs）、非标准端口（如 Nginx 监听 8081）、容器进程标签（如 clawd 进程需要特定 domain 类型）等场景
- 注意：自定义策略需配合正确安全上下文（chcon -t httpd_sys_rw_content_t /path/to/dir）才能生效
