根本原因是semanage fcontext仅写入策略库，未重打标；必须执行restorecon -Rv /myapp/data生效，且路径需真实存在、挂载无context=覆盖、类型名大小写正确、匹配规则用正则"/myapp/data(/.*)?"。
为什么 semanage fcontext 添加规则后还是没用
根本原因通常是规则没生效——semanage fcontext -a 只是把上下文规则写进策略数据库，不会自动修改现有文件的标签。你得手动触发重打标，否则服务仍按旧标签被拒绝。
常见错误现象：ls -Z /myapp/data 显示仍是 system_u:object_r:default_t:s0，而服务日志里反复出现 avc: denied { read } for comm="nginx" path="/myapp/data/index.html" dev="sda1" ino=123456 scontext=system_u:system_r:httpd_t:s0 tcontext=system_u:object_r:default_t:s0 tclass=file。
- 先确认规则是否已添加：
semanage fcontext -l | grep /myapp/data - 再检查实际文件标签：
ls -Z /myapp/data - 若不一致，必须运行：
restorecon -Rv /myapp/data（-v看输出，-R递归） - 注意：如果目录不存在，
restorecon不报错也不生效；得先mkdir -p /myapp/data再打标
semanage fcontext 的正则写法和路径匹配陷阱
SELinux 路径匹配不是 shell glob，而是基于正则的严格前缀匹配。写错会导致规则完全不命中，且 semanage 不校验路径是否存在或是否合法。
- 正确写法（匹配整个目录及子项）：
semanage fcontext -a -t httpd_sys_content_t "/myapp/data(/.*)?" - 错误写法：
"/myapp/data/*"（*是 shell 通配符，SELinux 不认）、"/myapp/data"（只匹配该路径本身，不含子目录和文件） - 路径末尾不能有空格，也不能用变量或环境变量（
$HOME无效） - 若路径含特殊字符如括号、点，需用反斜杠转义，例如：
/opt/app\.v2(/.*)?
restorecon 执行后标签仍回退？检查文件系统挂载选项
某些场景下，restorecon -Rv 明明成功了，但重启服务或过几分钟再 ls -Z，发现标签又变回 default_t。大概率是文件系统挂载时用了 context=... 或 fscontext=... 选项，强制覆盖了磁盘上的扩展属性。
hdhcms网站支持PC、手机版，同时后台支持公众号的接入，包括微信服务号订阅号，可以设置自动回复及服务号菜单及认证订阅号菜单。 1、网站上线方法： 1.1本网站运行环境为：IIS6.5+SQLITE 1.2将网站解压到网站目录 1.3数据库默认为SQLITE，包括在解压目录内，无须修改 1.4 完成上面的配置后通过所绑定的域名即可运行2网址访问及后台访问配置
- 查挂载参数：
findmnt -t ext4 | grep /myapp - 典型问题挂载项：
context="system_u:object_r:default_t:s0"—— 这会无视所有 disk-based SELinux 标签 -
解决方法：从
/etc/fstab中删掉该context=参数，改用defaults，然后mount -o remount /myapp - 验证：重打标后执行
getfattr -n security.selinux /myapp/data，应返回非空值；若返回 “No such attribute”，说明挂载覆盖了标签
httpd 和 nginx 对 SELinux 类型的要求差异
别默认套用 httpd_sys_content_t。nginx 默认运行在 nginx_t 域，而 RHEL/CentOS 8+ 的 nginx 包自带策略，但默认不启用 httpd_can_network_connect 等布尔值，且它对内容类型更敏感。
- nginx 静态文件建议用：
semanage fcontext -a -t nginx_content_t "/myapp/data(/.*)?" - 若要允许 nginx 反向代理（连接后端），还需：
setsebool -P nginx_can_network_connect 1 - httpd 则常用：
httpd_sys_content_t（只读）、httpd_sys_rw_content_t（可写，如上传目录） - 类型名大小写敏感，
nginx_content_t≠nginx_content_t（后者不存在）
最常被忽略的是：restorecon 必须在 semanage fcontext 之后执行，且目标路径必须真实存在；挂载参数和守护进程域类型不匹配，比策略规则写错更难排查。
