centos context为何拒绝访问

在 CentOS 里提到 “context 拒绝访问”，绝大多数情况是指 SELinux 安全上下文（security context）不匹配，导致进程被 SELinux 拒绝访问文件/端口/资源。下面从原因到排查、解决系统说明。

一、什么是“context 拒绝访问”

CentOS 默认启用 SELinux，每个：

文件
目录
进程
端口

都有一个 SELinux context（如 httpd_sys_content_t）。

当 进程 context ≠ 资源允许 context 时，SELinux 会 拒绝访问，即使 rwx 权限正常。

典型报错：

Permission denied

但 ls -l 显示权限没问题。

二、常见触发场景（CentOS 最常见）

1. Web 服务访问非标准目录

例如：

Nginx / Apache 访问 /data/www
目录 context 是 default_t

✅ 正确应为：

httpd_sys_content_t

2. 自定义端口被拒绝

如：

SSH 改到 2222
MySQL 改到 3307

SELinux 只允许默认端口 context。

3. 文件从别处拷贝/解压

如：

cp / tar / mv
FTP 上传

context 不会自动变。

4. 服务写日志/上传目录

如：

上传目录需要写权限
但 context 是只读类型

三、如何确认是 SELinux context 问题

1. 看审计日志（最关键）

sudo ausearch -m avc -ts recent

或：

sudo tail -f /var/log/audit/audit.log

看到类似：

avc: denied { read } for pid=... comm="nginx"

2. 临时确认（测试用）

sudo setenforce 0

如果 立刻恢复正常 → 就是 SELinux context 问题。

⚠ 测试后请恢复：

sudo setenforce 1

四、正确解决方法（推荐）

✅ 方法 1：修改文件/目录 context（最常用）

示例（Web 目录）：

sudo semanage fcontext -a -t httpd_sys_content_t "/data/www(/.*)?"
sudo restorecon -Rv /data/www

查看 context：

ls -Z /data/www

✅ 方法 2：允许服务写目录

sudo semanage fcontext -a -t httpd_sys_rw_content_t "/data/upload(/.*)?"
sudo restorecon -Rv /data/upload

✅ 方法 3：添加自定义端口

sudo semanage port -a -t ssh_port_t -p tcp 2222

查看：

sudo semanage port -l | grep ssh

✅ 方法 4：用 audit2why 自动分析

sudo audit2why < /var/log/audit/audit.log

或生成策略：

sudo audit2allow -a

⚠ 不建议无脑 audit2allow -M 放行所有

五、应急但不推荐的方法

# 临时
setenforce 0

# 永久（不推荐）
vi /etc/selinux/config
SELINUX=disabled

❌ 会降低系统安全性

六、快速判断 Checklist

[ ] ls -Z 看文件 context
[ ] ps -Z 看进程 context
[ ] ausearch -m avc
[ ] setenforce 0 测试
[ ] 用 semanage + restorecon

如果你能告诉我：

CentOS 版本
具体服务（Nginx / Apache / MySQL / SSH / 自定义）
报错原文或 audit.log 片段

我可以直接给你 精确的一条命令解决方案。