如何在本地与预发布环境中阻止JS文件的访问请求

你当前使用的<system.web>授权规则仅对经过ASP.NET管道处理的请求生效，而预发布环境中IIS可能直接通过静态文件模块处理JS文件，跳过了ASP.NET授权流程，导致规则失效。以下是几种可靠的改进方案：

方案一：使用IIS URL重写模块拦截（推荐） #

URL重写模块在请求处理的早期阶段生效，无论目标是静态文件还是动态资源都能拦截。首先确保预发布环境的IIS已安装URL重写模块，然后在web.config中添加以下配置：

<system.webServer>
  <rewrite>
    <rules>
      <rule name="Block TestScript.js" stopProcessing="true">
        <!-- 匹配目标JS文件的相对路径，ignoreCase确保大小写不敏感 -->
        <match url="^test/Test/TestScript.js$" ignoreCase="true" />
        <!-- 返回403禁止访问状态码 -->
        <action type="CustomResponse" statusCode="403" statusReason="Forbidden" statusDescription="Access Denied" />
      </rule>
    </rules>
  </rewrite>
</system.webServer>

方案二：强制JS文件走ASP.NET管道 #

让目标JS文件强制经过ASP.NET管道处理，这样原有的授权规则就能生效。在web.config中添加以下配置，同时保留你原来的<location>授权规则：

<system.webServer>
  <handlers>
    <add 
      name="BlockJS_via_ASPNET" 
      path="Test/TestScript.js" 
      verb="*" 
      modules="ManagedPipelineHandler" 
      resourceType="Unspecified" 
      requireAccess="Script" 
    />
  </handlers>
</system.webServer>

注意：此方法会增加ASP.NET管道的负载，仅在其他方案无法使用时考虑。

方案三：使用IIS请求筛选模块拦截 #

请求筛选是IIS原生的安全功能，直接在服务器层面拒绝指定URL的访问，无需依赖ASP.NET：

<system.webServer>
  <security>
    <requestFiltering>
      <denyUrls>
        <add url="/test/Test/TestScript.js" />
      </denyUrls>
    </requestFiltering>
  </security>
</system.webServer>

额外检查点 #

• 确认预发布环境的IIS已启用对应模块：URL重写模块需单独安装，请求筛选模块默认启用。
• 核对路径匹配：确保配置中的路径是相对于应用根目录的正确路径，注意大小写和层级（比如本地和预发布的应用根可能不同）。
• 排查冲突规则：检查web.config中是否有其他优先级更高的<location>、重写或请求筛选规则覆盖了当前配置。

内容的提问来源于stack exchange，提问作者John John