semanage fcontext -a 添加永久上下文规则必须使用扩展正则表达式（如/path(/.*)?），否则仅作用于目录自身；真正生效需配合restorecon -Rv递归应用，chcon仅为临时修改。

semanage fcontext -a 添加永久上下文规则必须带正则

直接写 semanage fcontext -a -t httpd_sys_content_t /var/www/html 是无效的——它不会匹配子文件，后续 restorecon 也不会递归生效。SELinux 要求路径参数必须是扩展正则表达式，常见写法是加 (/.*)? 后缀。

这个后缀的意思是：匹配该路径本身，也匹配其下任意层级的文件和子目录。不加它，规则只对目录自身生效（类型为 dir），但里面所有文件仍保持旧上下文。

• semanage fcontext -a -t httpd_sys_content_t '/var/www/html(/.*)?' ✅ 正确
• semanage fcontext -a -t httpd_sys_content_t '/var/www/html' ❌ 不生效（或仅影响目录自身）
• 单引号必须包裹路径，防止 shell 解析括号和问号

restorecon -Rv 是唯一能批量应用规则的命令

semanage fcontext 只是把规则写进策略数据库，不改变任何实际文件的上下文。真正“落地”的动作是 restorecon，而且必须加 -R（递归）和 -v（显示详情），否则你看不到效果，也容易误判是否成功。

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

• restorecon -Rv /var/www/html 会扫描该路径下所有文件，并按 semanage fcontext -l 中定义的规则重设上下文
• 如果之前没运行过 semanage fcontext -a，restorecon 会按系统默认策略恢复（比如还原成 default_t），不是清空或保留原值
• 执行后检查：用 ls -Z /var/www/html/index.html 确认 type 字段是否已变成 httpd_sys_content_t

chcon 和 semanage 的根本区别在持久性

chcon -t httpd_sys_content_t /path 立刻生效，但只是临时修改——只要触发 restorecon（比如系统更新、手动运行、或某些 RPM 安装脚本），就会被覆盖回默认上下文。而 semanage fcontext + restorecon 才是永久方案。

• chcon 适合调试或应急绕过，不适合生产环境长期使用
• semanage fcontext 规则存在 /etc/selinux/targeted/contexts/files/file_contexts.local，重启、重装策略都不丢失
• 误加规则可用 semanage fcontext -d -t httpd_sys_content_t '/path(/.*)?' 删除

常见失败原因：policycoreutils-python 没装或权限不足

CentOS/RHEL 7+ 默认不预装 semanage，报错 command not found 就是这个原因。另外所有操作必须用 root 权限，普通用户即使加 sudo 也常因 PATH 或 SELinux 策略限制失败。

• 先装依赖：yum install -y policycoreutils-python（RHEL/CentOS 7/8）或 dnf install -y policycoreutils-python-utils（RHEL 9+）
• 确认 SELinux 处于 enforcing 或 permissive 模式：getenforce 返回 Enforcing 或 Permissive，不能是 Disabled
• 如果 semanage fcontext -l 报错 Permission denied，说明当前 shell 上下文受限，换用 sudo -i 进入 root shell 再试

永久生效的关键不在“改一次”，而在“规则注册 + 主动刷新”；很多人卡在只运行了 semanage 却忘了 restorecon，或者用了 chcon 以为一劳永逸——这两类操作在重启或策略更新后都会失效。