在 centos 7 上，即使 apache 用户（apache）拥有 `/var/www/html/` 目录的正确文件系统权限（如 775），php 脚本仍可能因 selinux 策略限制而无法写入文件，报错“permission denied”。本文详解如何诊断并永久修复该问题。
在 CentOS 7 中，默认启用 SELinux 安全模块，它在传统 Linux DAC（自主访问控制）之外施加额外的 MAC（强制访问控制）策略。这意味着：即使 ls -l 显示 apache 用户对 /var/www/html/ 拥有读写执行权限（如 drwxrwxr-x），SELinux 仍可能阻止 Apache 进程（httpd）向该目录写入文件——这正是 file_put_contents() 报 Permission denied 的根本原因。
✅ 快速诊断：确认是否为 SELinux 导致
以 root 身份临时禁用 SELinux 并测试：
# 临时切换为 permissive 模式（不阻止，仅记录警告） sudo setenforce 0 # 再次运行 PHP 脚本（例如访问 http://your-server/file.php） # 若此时写入成功，则 99% 确认为 SELinux 限制
若确认是 SELinux 所致，请切勿长期使用 setenforce 0 或修改 /etc/selinux/config 为 disabled——这将削弱系统安全性。应采用合规的 SELinux 上下文配置。
✅ 正确修复：赋予 HTTPD 写入上下文
为 /var/www/html/（或其子目录）添加可写 SELinux 类型：
立即学习“PHP免费学习笔记（深入）”；
# 为目录及其所有内容设置 httpd_sys_rw_content_t 类型（允许 Apache 读写） sudo chcon -R -t httpd_sys_rw_content_t /var/www/html/ # 验证变更 ls -Z /var/www/html/ # 输出应包含：system_u:object_r:httpd_sys_rw_content_t:s0
⚠️ 注意：chcon 设置是临时的，系统重装、restorecon 或某些更新后可能丢失。
✅ 永久生效：使用 semanage（推荐）
确保 policycoreutils-python 已安装：
sudo yum install -y policycoreutils-python
然后添加持久化规则：
# 将 /var/www/html/ 及其子目录永久标记为可读写内容 sudo semanage fcontext -a -t httpd_sys_rw_content_t "/var/www/html(/.*)?" # 应用规则（等效于 restorecon -Rv） sudo restorecon -Rv /var/www/html/
执行后，即使系统重启或 SELinux 策略重载，该路径的上下文也将自动恢复为 httpd_sys_rw_content_t。
? 补充建议与验证
检查当前 SELinux 模式：
getenforce → 返回 Enforcing（正常）、Permissive（仅记录）、Disabled（已关闭）
sestatus -v → 查看详细状态及策略信息-
排查其他可能因素（次要）：
- 确保 httpd 进程实际以 apache 用户运行：ps aux | grep httpd
- 检查 open_basedir 是否限制了写入路径（php -i | grep open_basedir）
- 确认磁盘未满、inode 未耗尽（df -h && df -i）
-
最小权限原则提醒：
仅对确实需要写入的子目录（如 uploads/、storage/）应用 httpd_sys_rw_content_t，而非整个 /var/www/html/。例如：sudo semanage fcontext -a -t httpd_sys_rw_content_t "/var/www/html/uploads(/.*)?" sudo restorecon -Rv /var/www/html/uploads
通过以上步骤，您既能保持 SELinux 的安全防护能力，又能确保 PHP 应用在 CentOS 7 上获得所需的文件系统写入权限——这才是生产环境的合规实践。
