SELinux导致脚本执行报错的典型表现是Permission denied或status=203/EXEC，根源在于安全上下文不匹配或策略限制；需依次确认getenforce为Enforcing、用ls -Z检查脚本上下文是否为shell_exec_t、通过ausearch或grep avc: denied定位拦截详情，并用chcon或audit2allow精准修复。
SELinux 导致脚本执行报错，典型表现是命令明明有权限、路径正确、解释器也对，却提示 Permission denied 或服务启动时出现 status=203/EXEC。这不是传统权限问题，而是 SELinux 安全上下文或策略限制所致。排查需按顺序聚焦关键点，避免盲目禁用。
确认 SELinux 是否处于强制模式
这是所有排查的前提。如果 SELinux 是 disabled 或 permissive 模式，它不会拦截执行。
- 运行 getenforce：返回 Enforcing 才可能造成拦截
- 运行 sestatus：查看当前模式、策略类型（如 targeted）、以及是否启用
- 若返回 Permissive 却仍有报错，说明问题不在 SELinux；若为 Enforcing，继续下一步
检查脚本及调用链的 SELinux 上下文
SELinux 不看用户身份，而看文件和进程的“安全标签”。脚本本身、其解释器（如 /bin/bash）、甚至父进程（如 systemd、crond、keepalived）都必须拥有允许执行的上下文。
Linux Ai Server
下载
Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。
- 用 ls -Z script.sh 查看脚本的安全上下文，常见错误是显示 unconfined_u:object_r:user_home_t:s0 等非可执行类型
- 对比系统标准可执行脚本：比如 ls -Z /usr/bin/bash，正常应为 system_u:object_r:shell_exec_t:s0
- 用 ps -Z 查看触发脚本的进程（如 crond、keepalived 进程），确认其域（domain）是否被允许调用该脚本类型
查找被拒绝的操作记录（avc denial）
SELinux 拦截时会在内核日志中留下明确线索，关键词是 avc: denied。
- 运行 sudo ausearch -m avc -ts recent | tail -20（recent 可换为具体时间，如 10 minutes ago）
- 或直接查日志：sudo grep "avc.*denied" /var/log/audit/audit.log | tail -15
- 关键字段包括：type=AVC、scontext（源上下文）、tcontext（目标上下文）、tclass=file、perm=execute —— 这能精准定位是哪个进程因何原因被拒
临时验证与最小化修复
不建议直接 setenforce 0。更稳妥的做法是基于日志证据做针对性调整：
- 若确认是脚本上下文错误：用 sudo chcon -t shell_exec_t script.sh 临时修改类型（重启后失效）
- 若发现是策略缺失（如 keepalived 调用脚本被拒）：可用 sudo audit2allow -a -M myscript 从 avc 日志生成新策略模块，再 sudo semodule -i myscript.pp
- 生产环境推荐先设为 permissive 模式复现问题，收集完整 avc 日志后再生成策略，确保最小授权
