在CentOS系统中，chcon和restorecon是管理SELinux安全上下文的两个核心命令，它们分别用于临时修改和恢复文件的SELinux标签。简单来说，当你遇到"Permission denied"但普通权限没问题时，十有八九是SELinux上下文不对。chcon命令可以直接给文件或目录指定一个新的上下文类型，比如把一个网页文件从默认的httpd_sys_content_t改成public_content_t；而restorecon则是根据系统策略数据库，把文件上下文恢复到"应该有"的默认状态。这两个命令配合使用，基本能解决CentOS上绝大多数SELinux权限问题。
什么是SELinux上下文，为什么它比普通权限更重要
传统Linux权限只看用户、组和rwx三个维度，但SELinux在此之上又加了一层"安全标签"。每个文件、进程、端口都被贴上一个上下文标签，格式通常是"用户:角色:类型:级别"，比如system_u:object_r:httpd_sys_content_t:s0。系统内核会根据这个标签来决定进程能不能访问某个文件。即使你是root用户、文件权限是777，如果上下文不匹配，访问照样被拒绝。这就是为什么很多人在CentOS上部署Web服务、数据库或者NFS共享时，明明权限都对了却还是报错的根本原因。
chcon命令：手动修改文件的SELinux上下文
chcon是"change context"的缩写，它的作用是直接修改指定文件或目录的SELinux上下文。基本语法如下：
chcon [选项] 上下文类型 文件或目录路径
常用选项包括：
-t：指定目标类型（type），这是最常用的方式。比如把/var/www/html/index.html的类型改成httpd_sys_content_t：
chcon -t httpd_sys_content_t /var/www/html/index.html
-u：指定用户（user）字段，-r：指定角色（role）字段，-l：指定安全级别（level）。一般情况下，我们只需要改-t参数就够了。
如果要递归修改整个目录下所有文件的上下文，加上-R参数：
chcon -R -t httpd_sys_content_t /var/www/html/
需要特别注意的是，chcon做的修改是"临时"的。如果之后运行了restorecon，或者文件系统被重新标记（relabel），chcon的修改就会被覆盖掉。所以chcon适合临时调试或者在不方便重启的情况下快速修复问题。
restorecon命令：把上下文恢复到策略默认值
restorecon是"restore context"的缩写，它会读取/etc/selinux/targeted/contexts/files/file_contexts这个策略文件，然后把文件的SELinux上下文恢复到策略定义的默认值。这是最"正规"的修复方式。
基本用法：
restorecon [选项] 文件或目录路径
常用选项：
-R：递归处理目录下所有文件。-v：显示详细处理过程。-n：不实际执行，只显示会做什么改动（dry-run模式，非常适合先检查再操作）。
例如，修复整个/var/www/html目录的上下文：
restorecon -Rv /var/www/html/
如果你只是想看看会改什么而不想真的改，先跑一遍：
restorecon -Rn /var/www/html/
restorecon的优点是"符合策略"，改完之后不会有后续被覆盖的风险。缺点是它依赖策略文件是否正确，如果策略文件本身有问题，restorecon也救不了你。
chcon和restorecon的核心区别与使用场景
很多人搞不清楚这两个命令什么时候用哪个。这里给一个明确的判断标准：
第一，如果你只是想快速让服务跑起来，不在乎长期维护，用chcon。比如临时把一个非标准路径的文件标记为httpd可访问的类型，先把业务跑通再说。
第二，如果你要做正规的系统维护、修复被错误修改的上下文、或者在生产环境中做标准化配置，用restorecon。它保证文件标签和系统策略一致，不会留下隐患。
第三，如果你不确定文件"应该"是什么上下文，先用ls -Z查看当前状态，再用semanage fcontext -l查询策略定义，最后决定用哪个命令。
查看SELinux上下文的实用方法
在操作之前，你必须先知道当前文件的上下文是什么。用ls -Z命令：
ls -Z /var/www/html/index.html
输出类似：
unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/index.html
如果你想查看某个进程当前的上下文，用ps -Z：
ps -Z | grep httpd
这些信息是你判断"要不要改、改成什么"的基础依据。
semanage fcontext：永久修改上下文策略
前面说了chcon是临时的，restorecon是恢复默认的。但如果你的文件放在一个非标准路径，比如/data/website/，而系统策略里没有定义这个路径的默认上下文，那restorecon也无能为力。这时候你需要用semanage fcontext来添加一条永久规则：
semanage fcontext -a -t httpd_sys_content_t "/data/website(/.*)?"
添加完规则后，再运行restorecon让它生效：
restorecon -Rv /data/website/
这才是完整的"永久修复"流程。很多教程只讲了chcon和restorecon，却漏掉了semanage fcontext这一步，导致很多人改完之后重启又回到老样子。
常见实战场景与解决方案
场景一：Nginx或Apache无法读取网站文件。先用ls -Z看文件类型，如果是default_t而不是httpd_sys_content_t，执行：
restorecon -Rv /var/www/html/
场景二：把/home目录下的文件移到/var/www后Web服务无法访问。因为文件保留了原来的user_home_t类型，需要：
restorecon -Rv /var/www/html/
或者临时用：
chcon -R -t httpd_sys_content_t /var/www/html/
场景三：自定义应用目录，比如/opt/myapp/data，需要让httpd进程能读取。先添加策略：
semanage fcontext -a -t httpd_sys_content_t "/opt/myapp/data(/.*)?" restorecon -Rv /opt/myapp/data/
场景四：查看系统中所有被错误标记的文件。可以用：
find / -context unconfined_u:object_r:default_t:s0 2>/dev/null
这能帮你快速定位潜在的安全风险点。
SELinux模式切换与调试技巧
如果你实在搞不定上下文问题，可以临时把SELinux设为permissive模式（只记录不拦截）来排查：
setenforce 0
排查完问题后，记得改回来：
setenforce 1
另外，查看SELinux相关的审计日志非常有帮助：
ausearch -m avc -ts recent
或者直接看：
cat /var/log/audit/audit.log | grep avc
这些日志会告诉你具体是哪个进程、访问哪个文件、被什么上下文规则拒绝了，是精准定位问题的利器。
关于SELinux的一些独到见解
很多运维人员一遇到SELinux问题就想关掉它，这是非常不推荐的做法。SELinux是CentOS/RHEL系列最重要的安全层之一，关掉它等于把一道重要防线拆了。正确的做法是理解它、学会用chcon、restorecon和semanage这三板斧去解决问题，而不是逃避。
从实际运维经验来看，80%的SELinux问题都出在"文件被移动或复制后上下文没跟着变"这件事上。cp命令默认会保留源文件的上下文，mv命令也是。所以当你把文件从一个地方挪到另一个地方，上下文往往就不对了。这时候restorecon一跑，问题就解决了。记住这个规律，能省你大量排查时间。
另外，不要过度使用chcon -t public_content_t或者chcon -t unconfined_t这类"万能"类型来绕过限制。这些类型的权限过于宽松，等于把SELinux的保护降到最低。能用restorecon恢复到正确类型的，就不要用chcon去"走捷径"。
总结
chcon和restorecon是CentOS上管理SELinux上下文的两把关键钥匙。chcon适合临时快速修复，restorecon适合正规恢复默认策略，而semanage fcontext则是处理非标准路径的永久方案。配合ls -Z查看、ausearch审计分析、setenforce调试，你就能完整掌握SELinux上下文管理的全套技能。与其关掉SELinux，不如花时间把这几个命令练熟，这才是专业运维该有的态度。
