SELinux阻止访问GOOGLE_APPLICATION_CREDENTIALS.json的解决咨询

正确的凭证文件SELinux上下文 #

仅设置httpd_sys_content_t无法满足需求，正确的上下文应为httpd_sys_rw_content_t（即使凭证文件仅需读取，SELinux的域规则可能需要该上下文才能让httpd进程正常访问）。执行以下命令配置：

1. 添加持久化上下文规则：

semanage fcontext -a -t httpd_sys_rw_content_t "/path/credentials.json"

2. 应用上下文变更：

restorecon -v "/path/credentials.json"

关键：开启Apache网络访问权限 #

你遇到的curl错误核心是SELinux阻止了Apache进程发起外部网络请求，需开启对应的布尔值：

setsebool -P httpd_can_network_connect on

参数-P确保设置永久生效，重启系统后不会还原。

验证配置 #

• 检查文件上下文是否生效：

ls -Z /path/credentials.json

输出应包含httpd_sys_rw_content_t。

• 检查网络权限布尔值：

getsebool httpd_can_network_connect

输出应为httpd_can_network_connect --> on。

额外建议 #

• 尽量将凭证文件移至Apache的默认目录下（如/var/www/html/google-creds/），而非用户主目录。用户主目录的user_home_t上下文会增加SELinux访问限制，即使单个文件上下文修改，父目录的规则仍可能干扰。
• 确保Apache进程拥有凭证文件的读权限：

chmod 640 /path/credentials.json
chown apache:apache /path/credentials.json

内容的提问来源于stack exchange，提问作者phper