如何限制IIS 10.0网站仅访问自身目录，禁止访问其他路径？

1. 明确目标操作用户 #

你的网站进程使用的是IIS APPPOOL\TestWeb这个应用池内置标识用户，所有权限配置都针对该用户执行。

2. 确保网站根目录的最小必要权限 #

先保证网站自身目录有正常运行的权限，避免误操作导致网站无法访问：

• 打开文件资源管理器，定位到D:\websites\TestWeb，右键点击文件夹→属性→安全选项卡
• 点击编辑→添加，输入IIS APPPOOL\TestWeb，点击检查名称确认用户存在后，点击确定添加
• 给该用户分配仅必要的权限：比如「读取和执行」「列出文件夹内容」「读取」，如果网站需要上传文件则额外添加「写入」，不要勾选「完全控制」
• 点击高级，确认权限的应用范围是「此文件夹、子文件夹和文件」，然后保存设置

3. 移除目标限制路径的用户权限 #

针对C:\Windows\、E:\MyFiles等需要限制的路径，执行以下操作：

以C:\Windows为例：

• 右键点击C:\Windows→属性→安全选项卡
• 点击编辑，查看权限列表中是否存在IIS APPPOOL\TestWeb用户：
  • 如果存在，选中该用户，点击删除，然后确认
  • 如果不存在，点击高级→禁用继承，选择「将已继承的权限转换为此对象的显式权限」（避免破坏系统默认权限），确认后再次检查权限列表，确保没有该用户的条目

对E:\MyFiles执行同样操作：

• 重复上述步骤，彻底移除IIS APPPOOL\TestWeb的所有权限条目，确保该用户无法读取、写入或执行该路径下的任何内容

4. 验证权限配置是否生效 #

• 代码验证：在TestWeb项目中添加一个简单的测试接口/页面，尝试读取C:\Windows\win.ini或写入E:\MyFiles\test.txt，如果抛出UnauthorizedAccessException异常，说明权限限制生效
• 命令行验证：打开命令提示符，执行以下命令：

  icacls "C:\Windows" | findstr "TestWeb"
  

  如果没有输出结果，说明该用户已无C:\Windows的权限；再执行：

  icacls "D:\websites\TestWeb" | findstr "TestWeb"
  

  确认该用户拥有网站根目录的必要权限

5. 额外注意事项 #

• 遵循最小权限原则：永远不要给应用池用户分配管理员权限或超出网站运行所需的权限
• 若网站需要访问其他特定路径（比如独立的上传目录），仅给该路径分配必要权限，不要开放全局访问权限
• 定期检查权限设置，避免系统更新、软件安装等操作意外重置权限配置

内容的提问来源于stack exchange，提问作者yangw