彻底禁用SELinux需配置修改、重启生效并清理残留：先用getenforce和sestatus确认状态不一致则必须重启；再将/etc/selinux/config中SELINUX设为disabled，同步检查/etc/sysconfig/selinux软链接，最后重启；接着清除策略目录、移除文件安全上下文、停用auditd；最终通过ls -Z、ps -eZ和grep AVC日志验证无上下文、无进程标签、无新拒绝日志。
彻底禁用 SELinux 不只是改个配置就完事，关键在于“禁用生效”+“清除残留策略影响”。否则系统仍可能加载策略、生成 AVC 日志，甚至在某些服务重启后意外恢复限制。
一、确认当前 SELinux 状态
先别急着改，用两个命令交叉验证：
- getenforce：看实时运行模式（Enforcing / Permissive / Disabled）
-
sestatus：重点看两行：
• Current mode（当前实际状态）
• Mode from config file（配置文件设定值）
如果两者不一致（比如 Current 是 Enforcing，Config 是 disabled），说明配置未生效，必须重启。
二、永久禁用：改配置 + 重启
只改配置不重启，SELinux 依然在跑。操作分三步：
- 编辑主配置文件：
sudo vi /etc/selinux/config，将SELINUX=enforcing或SELINUX=permissive改为：
SELINUX=disabled - 检查软链接：部分系统（如 AlmaLinux、旧版 CentOS）中
/etc/sysconfig/selinux是独立文件或软链接，执行ls -l /etc/sysconfig/selinux；如果不是指向/etc/selinux/config，也要同步改成SELINUX=disabled - 重启系统：
sudo reboot—— 这步不可跳过，内核模块必须卸载重载
重启后再次运行 getenforce 和 sestatus，两项都应显示 Disabled，且 Loaded policy name 为空。
三、清理残留策略与上下文
SELinux 被禁用后，文件和进程仍可能保留旧的安全上下文标签（如 system_u:object_r:httpd_sys_content_t:s0）。虽然不再起作用，但可能干扰某些工具（如 restorecon、auditctl）或造成日志混淆：
- 清空 SELinux 相关缓存：
sudo rm -rf /etc/selinux/targeted /var/lib/selinux/targeted（仅当确认已禁用且无其他策略目录） - 批量移除文件的 SELinux 上下文（可选）：
sudo find / -xdev -type f -printf '%p\0' 2>/dev/null | xargs -0 sudo setfattr -x security.selinux 2>/dev/null
（注意：此操作较耗时，生产环境建议只对关键目录如/var/www、/home执行） - 停用并禁用 auditd（若无需审计日志）：
sudo systemctl stop auditd && sudo systemctl disable auditd
—— 因为 AVC 拒绝日志由 auditd 记录，禁用 SELinux 后它通常已无必要
四、验证是否真正“干净”
完成上述步骤后，做三项检查：
-
ls -Z /：根目录下所有文件应显示 ? ? ? ?（表示无安全上下文），而非带冒号的标签 -
ps -eZ | head -5：进程列表中第一列应全为空或 ?，没有system_u:system_r:sshd_t:s0类似字段 -
grep -r "avc.*denied" /var/log/：不应再有新 AVC 拒绝日志产生（旧日志可保留，但新写入应停止）
全部满足，才算真正彻底禁用并清理完毕。
