CentOS Context 如何排查

你提到的 “CentOS Context” 在 Linux 里通常和 SELinux 上下文（Security Context） 有关。下面我按最常见场景给你一个系统性的排查思路，基本能覆盖 90% 的问题。

一、确认是不是 SELinux Context 问题

1️⃣ 查看 SELinux 状态

getenforce

或

sestatus

常见结果：

Enforcing ✅（最严格）
Permissive ⚠️（只记录不拦截）
Disabled ❌（SELinux 关闭）

如果是 Disabled，那和 Context 基本无关，问题可能在权限或配置。

二、查看文件 / 进程的 SELinux Context

2️⃣ 查看文件 Context

ls -Z /path/to/file

示例：

ls -Z /var/www/html/index.html

输出类似：

system_u:object_r:httpd_sys_content_t:s0 index.html

3️⃣ 查看进程 Context

ps -eZ | grep httpd

示例：

system_u:system_r:httpd_t:s0 1234 httpd

三、常见 Context 错误排查流程

✅ 场景 1：Web 服务访问被拒绝（Nginx / Apache）

典型现象

403 Forbidden
日志中有 Permission denied

排查步骤

ls -Z /var/www/html

正常应是：

httpd_sys_content_t

如果看到：

user_home_t

或

unlabeled_t

✅ 修复方式

semanage fcontext -a -t httpd_sys_content_t "/var/www/html(/.*)?"
restorecon -Rv /var/www/html

✅ 场景 2：端口被 SELinux 阻止

查看端口 Context

semanage port -l | grep http

如果程序监听 非标准端口，需要添加：

semanage port -a -t http_port_t -p tcp 8080

✅ 场景 3：进程无法写文件

查看目录下文件 Context

ls -Z /data

如果进程需要写权限，常见类型：

httpd_sys_rw_content_t
mysqld_db_t
var_log_t

修改示例：

semanage fcontext -a -t httpd_sys_rw_content_t "/data(/.*)?"
restorecon -Rv /data

四、通过日志精准定位 Context 问题

4️⃣ 查看 SELinux 审计日志

ausearch -m avc -ts recent

或实时查看：

tail -f /var/log/audit/audit.log

5️⃣ 用 audit2why 分析

audit2why < /var/log/audit/audit.log

6️⃣ 自动生成修复建议（慎用）

audit2allow -a

生成策略模块：

audit2allow -a -M mypolicy
semodule -i mypolicy.pp

⚠️ 不建议直接上线，先确认规则是否合理

五、快速判断是不是 Context 问题

临时关闭 SELinux 验证

setenforce 0

如果问题消失 ✅ → 就是 SELinux Context 问题

排查完后记得：

setenforce 1

六、常用 Context 类型速查

服务	Context 类型
Apache / Nginx	`httpd_sys_content_t`
可写目录	`httpd_sys_rw_content_t`
MySQL	`mysqld_db_t`
SSH	`ssh_home_t`
日志	`var_log_t`

七、如果你愿意，我可以进一步帮你

你可以直接贴出：

✅ 具体报错信息
✅ 服务类型（Nginx / Apache / MySQL / Docker / K8s）
✅ ls -Z 或 audit.log 内容

我可以 直接帮你定位是哪一条 Context 错了，并给出最小修复命令。