是SELinux拦截，因安全上下文不匹配而非传统权限问题；需用semanage打标（如mysqld_db_t）并restorecon生效，Docker场景加:z或宿主机预标上下文，同时检查mysqld相关布尔值。
确认是不是 SELinux 拦的，别先改 chmod
MySQL 启动失败报 Errcode: 13 或 Permission denied，但 ls -ld /var/lib/mysql 显示权限完全正确（比如 drwxr-x---. mysql:mysql），这大概率是 SELinux 在拦截，不是传统权限问题。直接改 chmod 或 chown 没用。
快速验证三步走：
- 运行
getenforce：输出Enforcing就基本坐实了 - 运行
sestatus：确认策略类型（通常是targeted）和当前模式 - 临时切到 permissive 模式：
sudo setenforce 0，再试systemctl start mysqld；如果立刻成功，就是它
给 MySQL 关键路径打上正确的 SELinux 上下文标签
不关 SELinux，而是精准放行。漏掉任何一个路径，都可能卡在某一步静默失败（比如 can't create ./ibdata1 或读不到 /etc/mysql/conf.d/）。
必须覆盖的路径和对应标签：
- 数据目录（如
/var/lib/mysql或你自定义的路径）：sudo semanage fcontext -a -t mysqld_db_t "/var/lib/mysql(/.*)?" - 配置目录（如
/etc/mysql/conf.d）：sudo semanage fcontext -a -t mysqld_etc_t "/etc/mysql/conf.d(/.*)?" - 临时文件路径（如
/tmp/ib.*）：sudo semanage fcontext -a -t mysqld_tmp_t "/tmp/ib.*" - 自定义 pid-file 或 socket 路径（比如
/run/mysqld/mysqld.pid）：查日志确认路径，再用mysqld_var_run_t标签补上
打完标签后，一定要执行：sudo restorecon -Rv /path/to/dir —— 这步才是真生效，semanage 只是注册规则。
Docker 场景下挂载宿主机目录失败怎么办
在启用了 SELinux 的宿主机上，docker run -v /my/data:/var/lib/mysql 即使权限全开也会失败，错误日志里只显示 Permission denied，根本原因是容器内路径继承了宿主机目录的原始 context（比如 unconfined_u:object_r:default_t:s0），不是 mysqld_db_t。
两种解法：
- 推荐：宿主机先打标再挂载：
sudo semanage fcontext -a -t mysqld_db_t "/my/data(/.*)?"→sudo restorecon -Rv /my/data - 运行时加
:z标签：docker run -v /my/data:/var/lib/mysql:z，让 Docker 自动重标上下文（注意：仅适用于单容器场景，多容器共享时用:Z）
别忘了检查 mysqld 相关布尔值
有些操作被 SELinux 默认禁止，比如 SELECT INTO OUTFILE 或连接外部端口，光打标签还不够。
查当前设置：getsebool -a | grep mysqld
关键布尔值：
-
mysqld_can_network：控制是否允许网络访问（默认 off） -
mysqld_connect_any：允许连接任意端口（如复制时连其他 MySQL 实例） -
mysqld_disable_trans：启用后可绕过部分域转换限制（导出/加载数据常用）
启用示例：sudo setsebool -P mysqld_disable_trans on（-P 表示永久生效）
真正难的不是关 SELinux，而是标对每一个路径的上下文——audit.log 里每一条 avc: denied 记录，都对应一个没标上的路径。漏掉 /tmp/ib*、/run/mysqld 或自定义日志路径，就可能卡住不动，且无明确报错。
