semanage login 用于管理 Linux 用户与 SELinux 用户（如 staff_u、unconfined_u）的映射关系，决定用户登录后进程的默认安全上下文；通过 -l 查看、-a 添加、-m 修改、-d 删除映射，修改后需重新登录生效。
在 Linux 系统中，semanage login 用于管理 Linux 用户与 SELinux 用户之间的映射关系，而不是直接映射到“SELinux 域”（域是进程运行的上下文，如 httpd_t），而是映射到 SELinux 用户（如 unconfined_u、staff_u），再由该 SELinux 用户关联角色和默认域。这个映射决定了用户登录后，其启动的进程默认处于哪个受限或非受限的 SELinux 上下文中。
查看当前登录映射
以 root 身份运行：
semanage login -l
输出类似：
Login Name SELinux User MLS/MCS Range Service
__default__ unconfined_u s0-s0:c0.c1023 *
root unconfined_u s0-s0:c0.c1023 *
alice staff_u s0-s0:c0.c1023 *
其中 __default__ 表示未显式配置的所有普通用户默认使用的 SELinux 用户；root 是单独定义的；alice 是手动添加的映射。
添加新用户映射
例如，将系统用户 devuser 映射到 SELinux 用户 staff_u（适用于需要 sudo 权限但受部分限制的日常操作）：
semanage login -a -s staff_u -r s0-s0:c0.c1023 devuser
-
-a表示添加新映射 -
-s staff_u指定目标 SELinux 用户 -
-r s0-s0:c0.c1023指定 MLS/MCS 范围（多为默认值，可省略；若省略则沿用该 SELinux 用户的默认范围）
执行后需重新登录，新映射才生效。注意：目标 SELinux 用户（如 staff_u）必须已存在，可通过 semanage user -l 查看。
修改或删除映射
修改已有映射（例如把 devuser 改为 sysadm_u）：
semanage login -m -s sysadm_u devuser
删除映射（恢复走 __default__ 规则）：
semanage login -d devuser
⚠️ 删除后该用户不再有独立映射，将遵循 __default__ 行定义的 SELinux 用户（通常是 unconfined_u）。
理解映射的实际效果
映射本身不改变文件权限或服务行为，它影响的是用户会话的初始安全上下文：
- 映射到
unconfined_u→ 登录后 shell 进程类型为unconfined_t，基本不受 SELinux 限制 - 映射到
staff_u→ 默认角色为staff_r，可切换到sysadm_r执行管理任务，但普通命令仍运行在受限域中 - 映射到
user_u→ 更严格，通常只允许user_r角色，无法执行管理操作
是否真正受限，还取决于 SELinux 策略中对该 SELinux 用户的角色、类型和布尔值的完整配置。
