SELinux拦截Nginx时表现为403、Permission denied等“不讲道理”错误；需先用getenforce和sestatus确认Enforcing模式，再以setenforce 0临时验证，接着用ausearch+audit2why定位avc拒绝项，最后通过semanage fcontext、restorecon或semanage port精准修复上下文或端口策略。
SELinux 拦截导致 Nginx 访问异常时，错误表现往往“不讲道理”：配置没错、权限对了、路径存在，却返回 403、Permission denied 或启动失败。它不报 SELinux，只在系统底层静默拒绝。排查关键不是猜，而是验证和定位。
确认 SELinux 是否正在生效
很多问题卡在第一步——根本没确认状态就去改配置。
- 运行 getenforce：输出 Enforcing 才说明它真在起作用；Permissive 或 Disabled 可直接排除
- 再执行 sestatus 查看策略类型（通常是 targeted）和是否启用上下文检查
- 注意：二进制安装的 Nginx（如 /usr/local/nginx）默认无 SELinux 策略适配，比 yum 安装更容易触发拦截
用临时切换快速验证是否是它
这是最省时间的判断方式，不改任何配置，5 秒见分晓：
- 执行 sudo setenforce 0 切到 Permissive 模式（只记录、不阻止）
- 立刻尝试：/usr/local/nginx/sbin/nginx -t 测试配置，再 -s reload 或重启服务
- 如果此前报 403 或 Permission denied，现在能正常访问或启动，基本锁定 SELinux
- 验证完马上执行 sudo setenforce 1 恢复，别让服务器长期裸奔
查清具体哪一步被拦了
不能只靠“感觉”，要从 audit 日志里抓真实拒绝项：
- 执行 sudo ausearch -m avc -ts recent | audit2why，会列出被拒操作及原因解释
- 常见典型项：
- avc: denied { name_bind } → 绑定 80/443 或非标端口失败（如用了 8081 但没加端口类型）
- avc: denied { read } → 网站目录或静态文件上下文不对（比如 /srv/myapp 默认是 default_t，nginx 进程 httpd_t 不被允许读）
- avc: denied { write } → 日志目录（如 /usr/local/nginx/logs）没设为 httpd_log_t
- 也可用 journalctl -t setroubleshoot | grep -A 10 nginx 看更友好的分析建议
修复要精准，别一刀切关 SELinux
永久解决不是禁用，而是补上下文或放行策略：
- 对网站目录（如 /data/www）： sudo semanage fcontext -a -t httpd_sys_content_t "/data/www(/.*)?" 再 sudo restorecon -Rv /data/www
- 对日志目录（如 /usr/local/nginx/logs）： sudo semanage fcontext -a -t httpd_log_t "/usr/local/nginx/logs(/.*)?" 再 sudo restorecon -Rv /usr/local/nginx/logs
- 若用了非标端口（如 8081）： sudo semanage port -a -t http_port_t -p tcp 8081
- 不推荐直接改
/etc/selinux/config设为 disabled——掩盖问题，不是解决
