SELinux全称为Security-Enhanced Linux，是Linux内核的一个安全模块，通过强制访问控制机制来限制进程对系统资源的访问，有效提升系统的安全性。它的工作模式决定了安全策略的生效程度，总共分为三种不同的工作模式。
SELinux的3种工作模式详解
1. 禁用模式（Disabled）
在禁用模式下，SELinux功能完全关闭，系统不会加载任何SELinux安全策略，也不会对进程的资源访问进行任何限制。这种模式适合对SELinux不熟悉，或者运行某些和SELinux兼容性存在问题的老旧应用的场景。
不过需要注意的是，禁用模式下系统完全失去了SELinux提供的安全防护能力，一般不建议在生产环境长期使用。
2. 宽容模式（Permissive）
宽容模式下，SELinux会加载安全策略，也会对进程的访问行为进行检查，但不会真正阻止任何违反策略的操作。当进程的操作不符合安全策略时，SELinux只会记录相关的违规日志，不会中断进程运行。
这种模式通常用于调试场景，比如当某个应用运行异常时，可以切换到宽容模式排查是否是SELinux策略限制导致的问题，同时可以通过日志收集违规信息，为后续调整策略提供依据。
3. 强制模式（Enforcing）
强制模式是SELinux的默认工作模式，也是最安全的模式。在该模式下，SELinux会完整加载安全策略，并且会严格拦截所有违反安全策略的访问操作，同时记录相关违规日志。
生产环境的Linux系统通常都运行在强制模式下，能够最大程度发挥SELinux的安全防护作用，避免进程越权访问系统资源，降低系统被攻击的风险。
如何查看当前SELinux工作模式
可以通过getenforce命令快速查看当前系统SELinux的工作模式，命令执行后会直接返回当前模式名称：
# 查看当前SELinux工作模式 getenforce # 可能的返回结果：Disabled、Permissive、Enforcing
也可以通过查看SELinux的配置文件来确认模式配置，配置文件路径为/etc/selinux/config，其中SELINUX字段的值就是配置的工作模式：
# 查看SELinux配置文件 cat /etc/selinux/config # 配置文件中相关行示例： # SELINUX=enforcing
如何切换SELinux工作模式
临时切换模式
如果只是临时切换模式，不需要重启系统，可以使用setenforce命令：
# 临时切换到强制模式，数字1代表强制模式 setenforce 1 # 临时切换到宽容模式，数字0代表宽容模式 setenforce 0
注意临时切换无法从禁用模式切换到其他模式，也无法从其他模式切换到禁用模式，涉及禁用模式的切换必须修改配置文件并重启系统。
永久切换模式
如果需要永久修改SELinux工作模式，需要编辑/etc/selinux/config文件，修改SELINUX字段的值，可选值为disabled、permissive、enforcing，修改完成后重启系统即可生效：
# 编辑SELinux配置文件，这里以使用vi编辑器为例 vi /etc/selinux/config # 修改SELINUX字段为需要的模式，比如设置为强制模式 SELINUX=enforcing # 保存退出后重启系统 reboot
三种模式对比
为了更清晰地区分三种工作模式的特点，以下是三种模式的对比信息：
| 模式名称 | 策略加载情况 | 违规操作处理 | 适用场景 |
|---|---|---|---|
| 禁用模式（Disabled） | 不加载 | 无限制 | 兼容性调试、临时关闭防护 |
| 宽容模式（Permissive） | 加载 | 仅记录日志，不拦截 | 策略调试、问题排查 |
| 强制模式（Enforcing） | 加载 | 拦截操作并记录日志 | 生产环境、常规使用 |
在实际使用Linux系统时，建议优先使用强制模式，只有在明确需要排查SELinux相关问题或者应用兼容性问题时，再临时切换到宽容模式，尽量避免使用禁用模式，保障系统的安全防护能力。