运维脚本无法直接捕获SELinux拦截，需通过ausearch定位audit.log中最近的AVC拒绝记录，并用audit2why解析原因、给出修复建议，同时检查getenforce状态及自动记录日志。
运维脚本本身无法直接“捕获”SELinux拦截，因为SELinux的拒绝是内核级静默拦截——不抛异常、不返回错误码，进程只会收到通用的 Permission denied 或直接失败（如 open() 返回 -1、bind() 失败、服务启动卡住）。真正能拿到拦截证据的，是系统审计子系统。所以关键不是让脚本去“捕获”，而是让它能**快速关联到 audit.log 中的真实 AVC 拒绝记录**。
在脚本中主动触发并定位最近的SELinux拒绝
脚本执行前/后，立即调用 ausearch 锁定时间窗口，避免被其他进程日志淹没：
- 执行关键操作（如启动服务、读配置、写日志）前，先记录当前时间戳：
start_ts=$(date +%s.%3N) - 执行操作后，立刻查该时间段内的 AVC 拒绝：
sudo ausearch -m avc -ts $start_ts | audit2why - 若需聚焦某进程（如自定义守护进程
mydaemon），加-c mydaemon过滤
检查SELinux是否启用并处于强制模式
脚本开头应判断环境是否受 SELinux 约束，避免在 Disabled 或 Permissive 模式下误报：
- 运行
getenforce，仅当输出为 Enforcing 时才继续分析 AVC 日志 - 补充检查
sestatus -v | grep "Current mode"，确认策略加载正常 - 可临时用
setenforce 0测试——若操作立刻成功，就说明是 SELinux 拦截
解析拒绝原因并给出修复建议
原始 AVC 日志难读，脚本应调用 audit2why 把技术细节转成可操作提示：
-
sudo ausearch -m avc -ts recent | audit2why会明确指出缺哪条规则，例如：
“allow mydaemon_t var_log_t:dir write” —— 表示进程需要往 /var/log 写目录写入，但当前策略没允许 - 结合
ls -Z查目标路径上下文，用restorecon或semanage fcontext修正标签 - 对端口类问题，用
semanage port -l | grep http_port_t确认端口类型，再添加
把audit.log纳入脚本日志上下文
不要只依赖屏幕输出，脚本应自动提取相关 AVC 记录并写入自身日志，便于事后回溯：
- 执行
sudo ausearch -m avc -ts $(date -d '1 minute ago' +%s.%3N) -i >> /var/log/my-script-debug.log - 加
-i参数让输出含可读路径和进程名（需安装setroubleshoot） - 配合
sealert -a /var/log/audit/audit.log生成结构化诊断（需提前安装）
