SELinux处于Enforcing模式会导致Nginx绑定80端口失败、Docker挂载异常、宝塔打不开等Permission denied静默故障；需用getenforce和sestatus -v确认状态，通过修改/etc/selinux/config为SELINUX=disabled并重启系统彻底卸载，再验证/sys/fs/selinux目录不存在且sestatus显示disabled。
Linux系统中SELinux处于Enforcing模式时，常导致Nginx无法绑定80端口、Docker容器挂载失败、宝塔面板打不开、PHP-FPM socket被拒绝访问等静默故障，日志里只显示Permission denied却查不到权限问题根源——必须彻底永久关闭SELinux服务才能让这些服务稳定运行。
确认SELinux当前是否真在作怪
先执行getenforce命令，如果输出是【Enforcing】，说明它正在强制拦截；输出Permissive或Disabled则无需继续。再运行sestatus -v，重点看“Current mode”和“Mode from config file”两行是否一致，不一致说明配置未生效或被覆盖。
检查/proc/cmdline：执行cat /proc/cmdline | grep -o 'selinux=0\|security=selinux'，若返回结果非空，说明GRUB参数正在强制启用或禁用SELinux，会覆盖配置文件设置。
永久关闭SELinux的三步操作路径
第一步：备份原始配置文件
执行cp /etc/selinux/config /etc/selinux/config.bak，防止误操作后无法回退。
第二步：修改主配置文件
用sudo vim /etc/selinux/config打开，找到SELINUX=enforcing这一行，将其改为SELINUX=disabled。注意不是permissive——后者仍加载策略、占内存、写AVC日志，对宝塔、Docker等服务依然构成干扰。
第三步：重启系统使内核彻底卸载SELinux模块
执行sudo reboot。这一步不可跳过，也不可用init 6或systemctl reboot替代——某些AlmaLinux 9镜像中systemctl reboot可能绕过SELinux卸载流程。
验证是否真正关闭成功
重启登录后，立即执行getenforce，应返回【Disabled】（注意首字母大写且无空格）。若仍显示Enforcing或Permissive，说明配置未生效。
再执行ls /sys/fs/selinux，应返回【No such file or directory】。这个目录存在即代表SELinux子系统仍在内核中运行，哪怕getenforce返回空或报错也不能信。
最后运行sestatus，输出中“SELinux status”必须为disabled，“Loaded policy name”一行应完全消失或显示nil——这才是内核级彻底卸载的铁证。
