Linux chcon命令教程：如何修改文件的安全上下文(附实例详解和注意事项)

Linux chcon命令介绍

chcon是change context的缩写，这个命令用于修改文件或目录的SELinux安全上下文。SELinux安全上下文包括用户、角色、类型和范围四个部分，它们决定了文件或目录在SELinux系统中的访问控制策略。chcon命令可以指定完整的安全上下文，也可以只修改其中的某个部分。chcon命令是一个临时的修改方式，它不会改变文件或目录的默认安全上下文，如果需要永久修改，可以使用semanage命令。

Linux chcon命令适用的Linux版本

chcon命令适用于启用了SELinux的Linux系统，例如Red Hat Enterprise Linux，Fedora，CentOS，Debian，Ubuntu等。如果系统没有启用SELinux，或者SELinux运行在permissive模式下，chcon命令将不会起作用。要查看SELinux的状态，可以使用getenforce命令。要启用SELinux，可以修改/etc/selinux/config文件，将SELINUX的值设置为enforcing。要安装chcon命令，可以使用以下命令：

• 对于基于RPM的系统，如Red Hat Enterprise Linux，Fedora，CentOS等，可以使用yum或dnf命令安装coreutils包，chcon命令是该包的一部分。例如：

[linux@bashcommandnotfound.cn ~]$ sudo yum install coreutils

• 对于基于DEB的系统，如Debian，Ubuntu等，可以使用apt或apt-get命令安装coreutils包，chcon命令也是该包的一部分。例如：

[linux@bashcommandnotfound.cn ~]$ sudo apt install coreutils

Linux chcon命令的基本语法

chcon命令的基本语法格式如下：

chcon [选项]... [上下文] 文件...
chcon [选项]... --reference=参考文件 文件...

其中，上下文是指要修改的安全上下文，可以是完整的或部分的，格式为user:role:type:range。参考文件是指要复制其安全上下文的文件。文件是指要修改其安全上下文的文件或目录，可以是多个。

Linux chcon命令的常用选项或参数说明

chcon命令的常用选项或参数如下表所示：

选项或参数	说明
-h, --no-dereference	对于符号链接，修改其本身的安全上下文，而不是其指向的文件的安全上下文（默认行为）
-R, --recursive	递归地修改所有的文件和目录的安全上下文
-u, --user=用户	修改安全上下文中的用户部分
-r, --role=角色	修改安全上下文中的角色部分
-t, --type=类型	修改安全上下文中的类型部分
-l, --range=范围	修改安全上下文中的范围部分
--reference=参考文件	使用参考文件的安全上下文，而不是指定一个上下文
-v, --verbose	输出每个处理的文件的诊断信息
-P, --no-preserve-root	不特殊对待根目录（默认行为）
--preserve-root	在递归操作时，不处理根目录
-H, -L, -P	在递归操作时，指定如何处理符号链接，-H表示只处理作为参数的符号链接，-L表示处理所有的符号链接，-P表示不处理任何符号链接（默认行为）
--help	显示帮助信息并退出
--version	显示版本信息并退出

Linux chcon命令的实例

以下是一些使用chcon命令的实例：

实例1：查看文件的安全上下文

要查看文件的安全上下文，可以使用ls命令的-Z选项，例如：

[linux@bashcommandnotfound.cn ~]$ ls -lZ /etc/passwd
-rw-r--r--. root root system_u:object_r:passwd_file_t:s0 /etc/passwd

上面的输出显示了/etc/passwd文件的安全上下文为system_u:object_r:passwd_file_t:s0，其中system_u是用户，object_r是角色，passwd_file_t是类型，s0是范围。

实例2：修改文件的完整安全上下文

要修改文件的完整安全上下文，可以指定一个新的上下文，例如：

[linux@bashcommandnotfound.cn ~]$ sudo chcon unconfined_u:object_r:admin_home_t:s0 /etc/passwd

上面的命令将/etc/passwd文件的安全上下文修改为unconfined_u:object_r:admin_home_t:s0，这可能会导致SELinux拒绝访问该文件，因为这不是该文件的默认安全上下文。

实例3：修改文件的部分安全上下文

要修改文件的部分安全上下文，可以使用-u, -r, -t, -l选项，分别指定要修改的用户，角色，类型和范围，例如：

[linux@bashcommandnotfound.cn ~]$ sudo chcon -t httpd_sys_content_t /var/www/html/index.html

上面的命令将/var/www/html/index.html文件的安全上下文中的类型部分修改为httpd_sys_content_t，这样可以让Apache服务器访问该文件。

实例4：使用参考文件修改文件的安全上下文

要使用参考文件修改文件的安全上下文，可以使用--reference选项，指定一个参考文件，例如：

[linux@bashcommandnotfound.cn ~]$ sudo chcon --reference=/etc/passwd /etc/shadow

上面的命令将/etc/shadow文件的安全上下文修改为和/etc/passwd文件一样，这也可能会导致SELinux拒绝访问该文件，因为这不是该文件的默认安全上下文。

实例5：递归地修改目录及其子目录和文件的安全上下文

要递归地修改目录及其子目录和文件的安全上下文，可以使用-R选项，例如：

[linux@bashcommandnotfound.cn ~]$ sudo chcon -R -t httpd_sys_content_t /var/www/html

上面的命令将/var/www/html目录及其子目录和文件的安全上下文中的类型部分修改为httpd_sys_content_t，这样可以让Apache服务器访问该目录下的所有文件。

实例6：修改符号链接本身的安全上下文

要修改符号链接本身的安全上下文，而不是其指向的文件的安全上下文，可以使用-h或--no-dereference选项，例如：

[linux@bashcommandnotfound.cn ~]$ sudo chcon -h -t httpd_sys_content_t /var/www/html/link.html

上面的命令将/var/www/html/link.html符号链接的安全上下文中的类型部分修改为httpd_sys_content_t，而不影响其指向的文件的安全上下文。

实例7：显示修改文件的安全上下文的诊断信息

要显示修改文件的安全上下文的诊断信息，可以使用-v或--verbose选项，例如：

[linux@bashcommandnotfound.cn ~]$ sudo chcon -v -t httpd_sys_content_t /var/www/html/index.html
changed security context of '/var/www/html/index.html' from 'unconfined_u:object_r:admin_home_t:s0' to 'unconfined_u:object_r:httpd_sys_content_t:s0'

上面的命令将/var/www/html/index.html文件的安全上下文中的类型部分修改为httpd_sys_content_t，并输出了修改前后的安全上下文。

实例8：修改根目录的安全上下文

要修改根目录的安全上下文，可以使用-P或--no-preserve-root选项，这样可以覆盖默认的保护根目录的行为，例如：

[linux@bashcommandnotfound.cn ~]$ sudo chcon -P -t httpd_sys_content_t /

上面的命令将根目录的安全上下文中的类型部分修改为httpd_sys_content_t，这是一个非常危险的操作，可能会导致系统无法正常工作，因为根目录的默认安全上下文是system_u:object_r:root_t:s0¹。

实例9：恢复文件的默认安全上下文

要恢复文件的默认安全上下文，可以使用restorecon命令，而不是chcon命令，例如：

[linux@bashcommandnotfound.cn ~]$ sudo restorecon /etc/passwd

上面的命令将/etc/passwd文件的安全上下文恢复为默认的system_u:object_r:passwd_file_t:s0²。

实例10：查看文件的默认安全上下文

要查看文件的默认安全上下文，可以使用matchpathcon命令，而不是chcon命令，例如：

[linux@bashcommandnotfound.cn ~]$ matchpathcon /etc/passwd
/etc/passwd system_u:object_r:passwd_file_t:s0

上面的命令显示了/etc/passwd文件的默认安全上下文为system_u:object_r:passwd_file_t:s0，这是根据/etc/selinux/targeted/contexts/files/file_contexts文件中的规则匹配的。

Linux chcon命令的注意事项

使用chcon命令修改文件的安全上下文时，需要注意以下几点：

• chcon命令是一个临时的修改方式，它不会改变文件的默认安全上下文，如果系统重新标记或还原文件的安全上下文，chcon命令的修改将会丢失。如果需要永久修改文件的安全上下文，可以使用semanage命令。
• chcon命令需要有足够的权限才能修改文件的安全上下文，通常需要使用sudo或root用户执行。
• chcon命令可能会导致SELinux拒绝访问文件，如果修改的安全上下文不符合SELinux的访问控制策略。在修改文件的安全上下文之前，可以使用sesearch命令查看SELinux的访问控制规则。
• chcon命令可能会导致系统无法正常工作，如果修改的安全上下文不适合文件的功能或位置。在修改文件的安全上下文之前，可以使用matchpathcon命令查看文件的默认安全上下文。
• 如果执行chcon命令时出现bash: chcon: command not found的错误，说明系统没有安装chcon命令，可以使用yum或apt命令安装coreutils包，chcon命令是该包的一部分。