手动启动Nginx访问静态HTML正常，systemctl启动返回403错误排查

问题根因 #

该问题是CentOS系统默认开启的SELinux安全策略限制导致：

• 通过systemctl启动Nginx时，Nginx进程运行在SELinux预设的httpd_t安全域下，默认规则禁止该域下的进程访问/home目录下的用户文件资源
• 手动直接执行nginx命令启动时，进程运行在用户的无限制安全域（unconfined_t），不受该规则约束，因此可以正常访问静态文件

你可以查看Nginx错误日志验证：/var/log/nginx/error.log中会存在明确的open() "/home/static/index.html" failed (13: Permission denied)报错。

解决方案 #

以下提供3种可选方案，优先推荐第一种，安全性最高：

方案1：修改静态目录的SELinux上下文（推荐） #

给/home/static目录及所有子文件添加Nginx允许访问的SELinux标签：

1. 永久添加上下文规则：

semanage fcontext -a -t httpd_sys_content_t "/home/static(/.*)?"

2. 使规则立即生效：

restorecon -Rv /home/static

3. 重启Nginx验证即可：

systemctl restart nginx && curl localhost:10001

方案2：迁移静态文件到默认允许目录 #

将静态文件移动到Nginx默认有权限访问的系统目录，比如/usr/share/nginx/html，同时修改nginx.conf中对应server块的root配置为新路径，重启Nginx即可生效。

方案3：关闭SELinux（不推荐，会降低系统安全性） #

如果不需要SELinux防护可以选择该方案：

• 临时关闭（重启系统后失效）：

setenforce 0

• 永久关闭：修改/etc/selinux/config文件，将SELINUX=enforcing改为SELINUX=disabled，保存后重启系统生效。

内容的提问来源于stack exchange，提问作者reflection