CentOS7下如何用semanage递归修改.php文件的SELinux上下文并持久化？

我来帮你搞定这个SELinux上下文不生效的问题——这种情况大多是因为没配置对持久化的上下文规则，或者路径匹配逻辑出了问题。下面是一步步的实操方案：

首先，先确认当前PHP文件的上下文状态，执行命令看看：

ls -Z /home/user/public_html/*.php

你应该会看到类似unconfined_u:object_r:httpd_user_content_t:s0的标签，这就是当前生效的上下文。

接下来是关键的持久化规则配置——别用chcon临时修改，重启或执行restorecon就会还原，必须用semanage添加永久规则：

semanage fcontext -a -t httpd_user_script_exec_t "/home/user/public_html(/.*)?\.php"

这里的(/.*)?是正则表达式，用来匹配public_html目录下所有子目录里的.php文件；\.php转义点号是因为正则里.代表任意字符，必须转义才能匹配实际的文件名后缀。

然后让新规则立即应用到现有文件上：

restorecon -Rv /home/user/public_html

-R表示递归处理所有子目录，-v会显示每个文件的上下文修改过程，方便你确认更新情况。

最后再验证一下修改是否成功：

ls -Z /home/user/public_html/*.php

现在应该能看到目标标签httpd_user_script_exec_t了。

排查可能的异常情况 #

如果执行后上下文还是没变化，检查这几点：

• 查看已有的fcontext规则，确保新规则没被更具体的规则覆盖：

  semanage fcontext -l | grep public_html
  

  如果有更精确的路径规则（比如直接匹配/home/user/public_html/*.php但用了其他标签），先删除旧规则：semanage fcontext -d "/home/user/public_html/*.php"，再重新添加正确的规则。
• 确认/home/user/public_html本身的上下文是httpd_user_content_t（用ls -Zd /home/user/public_html查看），父目录上下文不对的话，子文件的规则可能无法生效。
• 确保SELinux处于enforcing模式（用getenforce确认），如果是permissive模式，规则不会强制生效，但上下文配置依然会被保存。

内容的提问来源于stack exchange，提问作者Jessy Kim