CentOS 7 无法连接 clamd.sock 文件（权限被拒绝错误）

Question

我正在尝试使用 clamAV 扫描 PHP 服务器上上传的文件。我已经在我的服务器（Centos 7）上安装了 ClamAV。目前，我使用的是 PHP 7，所以我使用 Clamd 套接字连接来扫描上传的文件。我启用了 PHP 套接字，clamd.sock 文件存在于 /var/run/clamd.scan/ 具有 apache 所有者的文件夹中。

我的 Socket 连接代码 -

        $socket = socket_create(AF_UNIX, SOCK_STREAM, 0);

        if(socket_connect($socket, '/var/run/clamd.scan/clamd.sock')) {
            return $socket;
        }

当我尝试在浏览器上运行上述代码时，我收到socket_connect(): unable to connect [13]: Permission denied 的错误，但如果我以 root 用户身份通过​​命令行运行 PHP 代码，它工作正常。

我知道 Centos 的 SELinux 策略存在一些问题，就好像我禁用了 SELinux 策略一样，在浏览器中一切正常。我检查了httpd_can_network_connect --> on 和antivirus_can_scan_system --> on 都打开了。

问题在于为apache 用户访问/var/run/ 文件夹内的任何内容，SELinux 的某些内容（某些策略）正在阻止 apache 连接到 clamd 套接字文件。有任何想法吗？

Answer 1

经过调试，得知这是 SELinux 政策问题。 您需要在 SELinux 中启用 daemons_enable_cluster_mode 策略。

启用 daemons_enable_cluster_mode：

setsebool -P daemons_enable_cluster_mode 1

在我的例子中，这将允许通过另一个服务（如 Apache）执行 ClamAV 扫描。