centos context错误怎么排查

在 CentOS（以及 RHEL 系列）里，context 错误最常见于 SELinux 上下文（security context）不正确，比如：

Permission denied 但权限看起来没问题
日志里出现 avc: denied
服务无法读取某个文件/目录
ls -Z 看到的 context 不对

下面按排查思路一步步来。

一、确认是不是 SELinux 导致的

1. 查看 SELinux 状态

getenforce

Enforcing：会真正限制
Permissive：只记录不限制
Disabled：和 context 无关

2. 临时关闭测试（仅排查用）

setenforce 0

如果问题消失，基本可以确认是 SELinux context 问题。

二、查看具体 context 错误

1. 查看 AVC 拒绝日志

ausearch -m avc -ts recent

或

dmesg | grep avc

常见示例：

avc: denied { read } for pid=xxx comm="nginx"
name="index.html" dev="sda1" scontext=system_u:system_r:httpd_t:s0
tcontext=unconfined_u:object_r:default_t:s0

重点看：

scontext（进程）

tcontext（文件）

被拒绝的操作（read / write / execute）

三、检查文件和目录的 context

1. 查看 context

ls -Z /path/to/file
ls -Zd /path/to/dir

2. 对比正确 context

例如 Web 目录应该是：

system_u:object_r:httpd_sys_content_t:s0

如果看到的是：

default_t
unlabeled_t

那基本就是 context 错了。

四、修复 SELinux context（最常见）

1. 使用 restorecon（推荐）

restorecon -Rv /var/www/html

2. 手动设置 context

semanage fcontext -a -t httpd_sys_content_t "/data/web(/.*)?"
restorecon -Rv /data/web

3. 临时修改（重启可能失效）

chcon -t httpd_sys_content_t /path/file

五、根据服务类型快速对照

服务	正确 context
Nginx / Apache	`httpd_sys_content_t`
FTP	`public_content_t`
MySQL 数据	`mysqld_db_t`
SSH 家目录	`user_home_dir_t`

六、常见场景举例

场景 1：Nginx 403

ls -Z /var/www/html
restorecon -Rv /var/www/html

场景 2：自定义目录被拒

semanage fcontext -a -t httpd_sys_content_t "/srv/site(/.*)?"
restorecon -Rv /srv/site

场景 3：脚本无法执行

chcon -t bin_t /usr/local/bin/myscript.sh

七、如果还不确定

把下面信息发出来，我可以帮你精确判断：

CentOS 版本（cat /etc/redhat-release）
报错完整日志（ausearch -m avc）
ls -Z 相关文件结果
是什么服务/操作报错

如果你说的 “context 错误”不是 SELinux（比如 systemd、PAM、Docker、Kubernetes），告诉我具体场景，我按那个方向帮你查。