已设置httpd_sys_rw_content_t上下文，SELinux仍阻止httpd写入/var/www/tmp？

我之前处理过好几个类似的SELinux拦截Apache/PHP写入目录的问题，你已经做了权限和基础上下文配置，但还有几个关键环节容易漏掉：

1. 先查SELinux审计日志，精准定位拦截原因 #

SELinux的拒绝行为会把详细原因记录在审计日志里，这是最靠谱的排查方式，别盲目试配置：

ausearch -m avc -ts recent

看输出里的denied条目，会明确告诉你是缺少布尔值权限、上下文不匹配，还是其他限制（比如文件系统属性）。比如如果日志提到httpd_sys_script_t无法写入httpd_sys_rw_content_t，就针对性调整布尔值；如果是子文件没继承上下文，就修正fcontext规则。

2. 确保SELinux上下文永久生效且递归继承 #

你可能只临时用chcon设置了目录上下文，但系统重启或执行restorecon后会被重置。正确的永久配置应该是：

# 添加永久上下文规则，匹配目录及所有子内容
semanage fcontext -a -t httpd_sys_rw_content_t "/var/www/tmp(/.*)?"
# 应用规则到目录及子项
restorecon -Rv /var/www/tmp

执行完用ls -Z /var/www/tmp检查，确保所有子文件/目录的上下文都是httpd_sys_rw_content_t，而不只是目录本身。

3. 检查并调整SELinux布尔值 #

有些场景下，即使上下文正确，SELinux的布尔值限制也会拦截写入。针对Apache/PHP的常见配置：

• 允许httpd脚本（比如PHP）读写httpd可写内容：

  setsebool -P httpd_sys_script_rw_content on
  

• 如果你的PDF库需要发起网络请求（比如拉取远程资源后写入），还要开启：

  setsebool -P httpd_can_network_connect on
  

• 快速验证用的宽松选项（不推荐生产环境）：

  setsebool -P httpd_unified on
  

  这个选项会让httpd所有进程类型共享同一个上下文，减少权限隔离，但牺牲了部分安全性。

4. 排除PHP自身的安全限制 #

虽然你说是SELinux拦截，但也可以快速排除PHP配置问题：

• 检查php.ini里的open_basedir，确保包含/var/www/tmp；
• 确认upload_tmp_dir也指向/var/www/tmp，避免临时文件路径冲突；
• 重启PHP-FPM或Apache后再测试。

5. 检查目录的特殊文件系统属性 #

有时候目录被设置了不可修改属性，即使SELinux和权限都正确也会失败：

lsattr /var/www/tmp

如果看到i属性（不可修改），用chattr -i /var/www/tmp移除即可。

内容的提问来源于stack exchange，提问作者verisimilitude