PHP 获取本机 IP 与 SELinux 完全无关，SELinux 不参与网络接口地址读取，也不拦截 $_SERVER['SERVER_ADDR'] 等操作；所谓“调 SELinux 取 IP”是概念混淆，实际被拦截的是 exec() 执行系统命令的动作。
PHP 获取本机 IP 与 SELinux 完全无关。SELinux 不参与网络接口地址的读取，也不拦截 gethostbyname()、$_SERVER['SERVER_ADDR'] 或 exec('hostname -I') 这类操作。所谓“PHP 调 SELinux 取 IP”是概念混淆——SELinux 没有提供获取 IP 的 API，也不存在“调用 SELinux 取 IP”这回事。
为什么有人觉得和 SELinux 有关？
常见误解来源是：在启用了 SELinux 的服务器（如 CentOS/RHEL）上，PHP 执行某些命令（如 exec('ifconfig') 或 shell_exec('ip addr')）突然失败，同时日志里出现 avc: denied 报错。但这不是因为“SELinux 阻止取 IP”，而是它阻止了 PHP 进程执行系统命令的权限。
- SELinux 策略默认限制
httpd_t（Apache）或php-fpm_t（PHP-FPM）域执行bin_t类型的二进制（如/sbin/ip） - 错误现象通常是：
exec()返回空、shell_exec()为null，且/var/log/audit/audit.log中有类似type=AVC msg=audit(…): avc: denied { execute } for path="/sbin/ip" … - 真正被拦的是「执行 shell 命令」这个动作，不是「获取 IP」这个目标
安全又可靠的本机 IP 获取方式（绕过 SELinux 干预）
不依赖外部命令，直接从 PHP 内置机制或系统环境读取，完全避开 SELinux 策略限制：
-
$_SERVER['SERVER_ADDR']：Web 服务监听的 IP（最常用，但仅适用于 HTTP 请求上下文；CLI 下不可用） -
gethostbyname(gethostname())：获取主机名对应的第一条 IPv4 地址（依赖/etc/hosts或 DNS 配置，可能不准） -
gethostbyaddr($_SERVER['SERVER_ADDR'] ?? '127.0.0.1')反向再正向，提升可靠性（仍受限于 hosts/DNS） - 读取网卡配置文件（需权限）：
file_get_contents('/sys/class/net/eth0/address')是 MAC，不是 IP；真要读 IP 应该看/proc/sys/net/ipv4/conf/eth0/all——但不推荐，路径不稳定且需 root 权限
如果非要用 exec('ip addr')，怎么让 SELinux 放行？
不建议，但若必须用（例如需要区分多网卡 IPv4/IPv6），可临时调试或生产加固：
立即学习“PHP免费学习笔记（深入）”；
- 先确认上下文：
ps -Z | grep php或id -Z查当前进程 SELinux 类型（通常是system_u:system_r:httpd_t:s0） - 临时允许（仅调试）：
setsebool -P httpd_can_network_connect 1（开启网络连接）+setsebool -P httpd_can_execmem 1（若涉及 exec）——但httpd_can_execmem有安全风险，慎用 - 精准放行命令（推荐）：
audit2allow -a -M myphpip（从 audit.log 提取拒绝记录并生成策略模块），再semodule -i myphpip.pp - 注意：
ip命令本身属于net_admin_t，普通 Web 进程不应拥有该权限；更稳妥的做法是改用$_SERVER或gethostbyname()
真正容易被忽略的是：很多开发者在容器或云主机环境下，把 localhost 解析成 127.0.0.1 就当成“本机 IP”，但实际业务可能跑在 Docker bridge 网络或 VPC 内网中——这时 gethostname() 返回的主机名根本没绑定到真实业务网卡 IP 上。这种场景下，硬编码网卡名（如 eth0）或依赖 ip addr 输出解析，反而比理解 SELinux 更关键。
