如何阻止用户访问特定URL但允许代码访问同路径？ASP.NET MVC场景

针对你遇到的/images、/scripts、/content目录被访问时返回403暴露存在的问题，以下是两个可行的解决方案，不会影响应用自身对这些目录的访问：

方案一：精准配置URL重写规则 #

在web.config的<system.webServer>节点下添加URL重写规则，仅匹配用户直接访问目录的请求，返回404错误：

<rewrite>
  <rules>
    <!-- 匹配直接访问三个目录的请求（带/或不带/） -->
    <rule name="HideImagesDir" stopProcessing="true">
      <match url="^images(/.*)?$" />
      <conditions>
        <!-- 仅匹配物理目录存在的情况，避免影响路由 -->
        <add input="{REQUEST_FILENAME}" matchType="IsDirectory" />
      </conditions>
      <action type="CustomResponse" statusCode="404" statusReason="Not Found" statusDescription="The requested resource does not exist." />
    </rule>
    <rule name="HideScriptsDir" stopProcessing="true">
      <match url="^scripts(/.*)?$" />
      <conditions>
        <add input="{REQUEST_FILENAME}" matchType="IsDirectory" />
      </conditions>
      <action type="CustomResponse" statusCode="404" statusReason="Not Found" statusDescription="The requested resource does not exist." />
    </rule>
    <rule name="HideContentDir" stopProcessing="true">
      <match url="^content(/.*)?$" />
      <conditions>
        <add input="{REQUEST_FILENAME}" matchType="IsDirectory" />
      </conditions>
      <action type="CustomResponse" statusCode="404" statusReason="Not Found" statusDescription="The requested resource does not exist." />
    </rule>
  </rules>
</rewrite>

规则说明 #

• match url匹配以三个目录开头的路径，包括/images、/images/、/images/subdir这类直接访问目录的请求
• conditions里的IsDirectory确保仅当请求的是实际存在的物理目录时才触发，不会影响MVC路由或文件请求（比如/images/logo.png仍可正常访问）
• CustomResponse直接返回404状态码，不会暴露目录存在的信息

方案二：自定义403错误页映射 #

如果URL重写仍不生效，可以在web.config中配置将特定目录的403错误映射到404：

1. 配置system.web节点（适用于经典模式） #

<system.web>
  <customErrors mode="On" redirectMode="ResponseRewrite">
    <error statusCode="403" redirect="~/404" />
  </customErrors>
</system.web>

2. 配置system.webServer节点（适用于集成模式） #

<system.webServer>
  <httpErrors errorMode="Custom">
    <remove statusCode="403" subStatusCode="-1" />
    <error statusCode="403" path="/404" responseMode="ExecuteURL" />
  </httpErrors>
</system.webServer>

补充：确保404页面存在 #

需要在MVC项目中添加一个404的Action和视图，或者直接使用静态404页面。如果不想创建页面，也可以将path设为一个不存在的路径，IIS会自动返回默认404。

为什么之前的方案失效？ #

• 隐藏段：IIS的隐藏段会阻止所有对该路径的访问，包括应用内部的资源引用，因此会导致崩溃
• 无效的重写规则：之前的规则可能没有匹配到目录访问的场景（比如没考虑结尾的斜杠，或者缺少IsDirectory条件），导致规则不触发
• 拒绝URL序列：该配置会拦截所有包含目标序列的请求，不管是用户请求还是应用内部的资源加载，因此会影响正常功能

内容的提问来源于stack exchange，提问作者ysi_d