CentOS系统中，SELinux布尔值控制着特定服务的安全权限开关，而文件上下文（file context）则定义了每个文件和目录的安全标签。当你遇到服务无法启动、权限被拒绝、或者文件标签被意外篡改时，最直接的解决思路就是：先用getsebool查看布尔值状态，用setsebool修改开关；再用semanage fcontext查看默认规则，用restorecon批量重置文件上下文。这两步操作是CentOS安全运维中最基础也最核心的修复手段，下面我把每一个细节拆开讲透。
一、SELinux布尔值到底是什么，为什么要管它
SELinux不像传统Linux权限那样只有读写执行三个维度，它多了一层强制访问控制（MAC）。布尔值就是SELinux提供的一种"快捷开关"，让管理员不用写复杂的策略规则，只需要一行命令就能允许或禁止某个服务的特定行为。比如httpd_can_network_connect这个布尔值，控制Apache能不能主动发起网络连接。默认关着，你开了它，Web应用就能访问外部数据库了。布尔值本质上是预编译好的策略模块开关，改它不会破坏整体策略框架，安全性有保障。
CentOS 7和CentOS 8/Stream中布尔值的管理方式略有不同。CentOS 7主要用getsebool和setsebool，CentOS 8开始推荐用semanage boolean，功能更完整，支持持久化修改。但底层逻辑完全一致，都是在/etc/selinux/targeted/booleans这个目录下操作。
二、查看和修改SELinux布尔值的完整操作
先看当前所有布尔值的状态：
getsebool -a
输出会列出几百个布尔值，每个后面跟着on或off。如果你只关心和某个服务相关的，比如HTTP相关：
getsebool -a | grep http
输出类似这样：
httpd_can_network_connect --> off httpd_can_network_relay --> off httpd_enable_homedirs --> off httpd_execmem --> off
要修改某个布尔值，比如允许Apache连接数据库：
setsebool -P httpd_can_network_connect on
注意-P参数，它表示永久生效（Persistent），不加-P只在当前会话有效，重启就没了。CentOS 8上更推荐：
semanage boolean -m --on httpd_can_network_connect
如果你想批量修改多个布尔值，可以写脚本循环处理。另外，查看某个布尔值的详细说明：
semanage boolean -l | grep httpd_can_network_connect
会显示这个布尔值的描述、当前状态和默认状态，方便你判断是不是被人改过。
三、文件上下文是什么，为什么会乱
SELinux给系统中每个文件、目录、端口都贴了一个安全标签，叫安全上下文（security context）。一个典型的文件上下文长这样：
system_u:object_r:httpd_sys_content_t:s0
里面包含四个字段：用户身份（system_u）、角色（object_r）、类型（httpd_sys_content_t）、安全级别（s0）。其中"类型"字段最关键，SELinux策略就是根据类型来判断进程能不能访问文件。比如httpd进程只能访问类型为httpd_sys_content_t的文件，你把一个网页文件的类型改成了shadow_t，Apache就读取不了，报403。
文件上下文会乱的常见场景：用cp -a复制文件时保留了源文件的上下文、手动mv移动文件导致标签丢失、从备份恢复数据时标签不匹配、或者某些程序自己修改了文件标签。这时候就需要重置。
四、重置文件上下文的三种方法
第一种，用restorecon按默认规则恢复单个文件或目录：
restorecon -Rv /var/www/html/
-R递归处理，-v显示详细过程。这是最常用的方式，它会读取/etc/selinux/targeted/contexts/files/file_contexts和/etc/selinux/targeted/contexts/files/file_contexts.local中的规则，把文件标签恢复到默认值。
第二种，用semanage fcontext添加自定义规则。如果你有一个非标准路径需要固定标签：
semanage fcontext -a -t httpd_sys_content_t "/myweb(/.*)?"
这条命令的意思是：/myweb及其子目录下所有文件，类型设为httpd_sys_content_t。加完规则后必须执行restorecon才能生效：
restorecon -Rv /myweb/
第三种，查看当前某个文件的上下文和默认应该是什么：
ls -Z /var/www/html/index.html
matchpathcon -V /var/www/html/index.html
matchpathcon会告诉你这个文件当前标签和默认标签是否一致，不一致就说明需要修复。这在排查问题时非常有用，比盲目restorecon更精准。
五、布尔值和文件上下文配合使用的实战场景
实际运维中，很多问题不是单一原因。比如你部署了一个Web应用，发现：第一，Apache启动报错说无法读取配置文件；第二，应用需要连接远程Redis。这时候你要分两步修：先用restorecon把/etc/httpd/和/var/www/下的文件上下文恢复正确，再用setsebool -P httpd_can_network_connect on打开网络权限。两个都做了，服务才能正常跑。
再比如NFS共享目录的场景。你把/data/share设成NFS导出目录，但客户端挂载后无法读写。检查发现：布尔值nfs_export_all_rw没开，文件上下文也不对。修复步骤：
setsebool -P nfs_export_all_rw on semanage fcontext -a -t public_content_rw_t "/data/share(/.*)?" restorecon -Rv /data/share/
这里用了public_content_rw_t类型，专门给NFS共享设计的。如果你不知道该用什么类型，可以先查：
semanage fcontext -l | grep nfs
六、排查问题的系统化思路
遇到SELinux相关故障，不要上来就关掉SELinux（setenforce 0），那是逃避问题。正确的排查流程是：
第一步，确认是SELinux在拦截。查看审计日志：
ausearch -m avc -ts recent
或者直接看/var/log/audit/audit.log，找denied和AVC相关的条目。
第二步，根据日志中的类型字段判断缺什么权限。比如日志显示httpd_t无法访问myapp_data_t类型的文件，那就需要要么改文件上下文为httpd_sys_content_t，要么添加允许规则。
第三步，检查布尔值。有些权限不是文件标签问题，而是布尔值没开。用getsebool确认相关开关状态。
第四步，修复后用audit2allow生成自定义策略模块（如果需要）：
ausearch -m avc -ts recent | audit2allow -M mypolicy semodule -i mypolicy.pp
这比直接关SELinux专业得多，也安全得多。
七、CentOS 8/Stream上的变化和注意事项
CentOS 8开始，SELinux的管理工具做了整合。semanage命令变得更重要，很多旧的setsebool用法虽然还能用，但官方推荐迁移到semanage boolean。另外，CentOS Stream 9进一步强化了默认安全策略，某些布尔值的默认值可能和CentOS 7不同，迁移时要特别注意对比。
还有一点容易忽略：如果你用了container或podman，容器内的文件上下文和宿主机是隔离的。容器内restorecon不影响宿主机，反之亦然。排查容器权限问题时要进入容器内部操作。
八、常见错误和避坑指南
错误一：只改布尔值不改文件上下文，或者反过来。两个维度缺一不可，必须都检查。
错误二：用chcon手动改标签后忘了加-P持久化。chcon的修改重启后可能被restorecon覆盖，要用semanage fcontext写永久规则。
错误三：不看审计日志就盲目操作。没有日志依据的修改等于瞎猜，浪费时间还可能引入新问题。
错误四：把/etc/selinux/targeted/contexts/files/file_contexts这个系统文件直接编辑。正确做法是用semanage fcontext添加规则到file_contexts.local，不要动系统默认文件。
九、总结
CentOS的SELinux安全体系由布尔值和文件上下文两大支柱构成。布尔值管"能不能做"，文件上下文管"能不能访问"。运维中遇到权限问题，先查布尔值状态，再查文件上下文标签，配合审计日志定位根因，最后用setsebool和restorecon精准修复。这套流程熟练之后，大部分SELinux故障十分钟内就能解决，根本不需要关闭安全机制。把这篇文章收藏好，遇到问题按步骤来，比到处搜零散答案高效得多。
