SELinux拦截PHP修改文件权限的典型现象是chmod()或chown()失败并报“Operation not permitted”，而root手动执行正常；根本原因是scontext（如httpd_t）与tcontext（如user_home_t）不匹配导致策略拒绝。
PHP 进程修改文件权限时被 SELinux 拒绝的典型现象
直接执行 chmod() 或 chown() 失败，错误日志里出现类似 Operation not permitted，但用 root 手动执行命令却正常——这基本是 SELinux 在拦截。不是 PHP 权限配置问题，也不是 open_basedir 限制，而是上下文（context）不匹配导致的策略拒绝。
确认 SELinux 是否启用及当前拒绝原因
先验证是否真由 SELinux 引起：
- 运行
sestatus确认状态为enabled - 查最近拒绝记录：
ausearch -m avc -ts recent | grep php（或grep "avc.*denied" /var/log/audit/audit.log | tail -20） - 关键字段关注：
comm="php-fpm"、name="/path/to/file"、scontext=system_u:system_r:httpd_t:s0、tcontext=unconfined_u:object_r:user_home_t:s0——scontext是 PHP 进程类型，tcontext是目标文件类型，不匹配就拒
放行 PHP 修改文件权限的三种实用方式
不推荐直接关闭 SELinux，优先按最小权限原则修复上下文或策略：
-
方式一：修正目标文件/目录的 SELinux 类型
用
chcon -t httpd_sys_rw_content_t /path/to/dir（对 Web 可写目录），或chcon -R -t httpd_sys_rw_content_t /var/www/html/uploads。注意加-R递归，且该类型允许chmod/chown操作 -
方式二：临时调试用布尔值开关
执行
setsebool -P httpd_can_network_connect_db 1（非本例）；真正相关的是httpd_can_chmod—— 但注意：RHEL/CentOS 8+ 默认不提供该布尔值，需自定义策略 -
方式三：生成并加载自定义模块（最稳妥）
用
ausearch -m avc -ts recent | audit2allow -M myphpchmod生成myphpchmod.te，再semodule -i myphpchmod.pp。模块会精准允许httpd_t对指定类型执行chmod和fchown
PHP 调用 chmod() 仍失败的隐藏坑
即使 SELinux 放行，还有几个常被忽略的点：
立即学习“PHP免费学习笔记（深入）”；
- PHP 进程用户（如
apache或www-data）必须对父目录有execute权限（即x位），否则连路径都进不去，SELinux 日志可能不报错 -
chmod()在 NFS 挂载点上默认失效，与 SELinux 无关，但现象相似；可通过mount | grep nfs排查 - 使用
shell_exec('chmod 644 '.$file)时，实际调用的是 shell，SELinux 上下文变成httpd_t→shell_exec_t，策略更严；应优先用原生chmod() - 某些容器环境（如 Podman）中，
--security-opt label=type:httpd_t可能未正确传递，需检查容器启动参数
