如何排查Debian Context故障

在 Debian 系统中，“Context 故障”通常出现在 SELinux / AppArmor（安全上下文）或 systemd 上下文环境 中。下面按常见场景给你一个排查思路清单，你可以对照使用。

一、先明确“Context 故障”是指哪一类

常见含义有三类：

SELinux Context 问题（较少见，Debian 默认不启用 SELinux）
AppArmor Context 问题（Debian 默认启用）
systemd Service Context / Environment Context 问题

二、AppArmor Context 故障排查（最常见）

1️⃣ 检查 AppArmor 状态

sudo aa-status

关注：

是否有 enforce 模式
是否出现 complain 或 denied

2️⃣ 查看 AppArmor 拒绝日志

sudo dmesg | grep -i apparmor

或

sudo journalctl -k | grep -i apparmor

常见错误示例：

apparmor="DENIED" operation="open"

3️⃣ 临时关闭/切换模式验证问题

sudo aa-complain /etc/apparmor.d/usr.bin.xxx

或临时关闭：

sudo systemctl stop apparmor

⚠️ 仅用于排查，不建议长期关闭

4️⃣ 修改 AppArmor 策略

编辑对应 profile：

sudo vim /etc/apparmor.d/usr.bin.xxx

重载：

sudo apparmor_parser -r /etc/apparmor.d/usr.bin.xxx

三、SELinux Context 故障（Debian 少见）

1️⃣ 检查 SELinux 是否启用

getenforce

如果返回：

Disabled → Debian 默认状态
Enforcing → 说明你手动启用了

2️⃣ 查看文件上下文

ls -Z /path/to/file

服务上下文：

ps -eZ

3️⃣ 修复 SELinux Context

restorecon -Rv /path

或临时修改：

chcon -t httpd_sys_content_t /var/www/html/index.html

四、systemd Context / 环境变量故障

1️⃣ 服务启动失败但手动执行正常

检查 service 上下文：

systemctl show your-service

重点看：

Environment
WorkingDirectory
User
ProtectHome
NoNewPrivileges

2️⃣ 查看 systemd 日志

journalctl -u your-service -xe

常见 context 问题：

权限不足
环境变量缺失
沙箱限制（ProtectSystem 等）

3️⃣ 临时禁用 systemd 安全限制

[Service]
ProtectSystem=no
ProtectHome=no

再执行：

sudo systemctl daemon-reexec
sudo systemctl restart your-service

五、通用排查顺序（推荐）

✅ 1. 明确报错信息
✅ 2. 查看 journalctl / dmesg
✅ 3. 判断是 AppArmor / SELinux / systemd
✅ 4. 临时关闭或切换模式验证
✅ 5. 修改策略或配置

六、你可以直接告诉我

为了更精准地帮你排查，你可以补充：

具体报错信息（完整日志）
Debian 版本（cat /etc/debian_version）
是 服务启动失败 / 文件访问失败 / 网络失败
是否涉及 Docker / LXC / 容器

我可以直接帮你定位是哪一类 Context 故障，并给出最小修改方案。