IIS下Web API含业务BIN资源路径的访问优化方案咨询

问题根源 #

IIS默认将bin列为隐藏段（Hidden Segment），会拦截任何包含/bin/的请求（即使这只是URL路径片段而非实际文件夹），这就是你在IIS Express下遇到404.8错误的原因，而Kestrel没有这个默认限制。

优化方案（按推荐优先级排序） #

1. 精准配置请求过滤的隐藏段例外

直接修改IIS的请求过滤规则，仅允许API前缀路径下的"BIN"片段通过，同时保留对其他路径bin文件夹的防护：
在web.config的<system.webServer>节点下添加：

<security>
  <requestFiltering>
    <hiddenSegments>
      <!-- 先移除默认的bin规则 -->
      <remove segment="bin" />
      <!-- 重新添加全局bin拦截 -->
      <add segment="bin" />
      <!-- 仅允许/api/开头的路径中的bin片段 -->
      <add segment="bin" allowed="true">
        <match url="^api/.*" />
      </add>
    </hiddenSegments>
  </requestFiltering>
</security>

• 优点：无需修改代码，规则精准，不影响其他路径的安全防护，一次性解决所有版本的路径问题。
• 验证：测试访问http://yourdomain/bin/应返回404.8，而http://yourdomain/api/Search/Find/2001/BIN可正常返回数据。

2. 用URL重写绕过拦截

通过URL重写将业务路径中的"BIN"临时替换为IIS不拦截的标识，再在后端还原：

1. 在web.config中添加重写规则：

<rewrite>
  <rules>
    <rule name="Rewrite BIN to Safe Token" stopProcessing="true">
      <!-- 匹配所有api路径中包含BIN的请求 -->
      <match url="^(api/.+)BIN(/.*)?$" />
      <!-- 替换为临时标识_BIN_ -->
      <action type="Rewrite" url="{R:1}_BIN_{R:2}" />
    </rule>
  </rules>
</rewrite>

2. 在控制器中还原标识：

[Route("api/Search/Find/{category}/{resource}")]
public IActionResult Find(string category, string resource)
{
    // 把临时标识还原为业务用的BIN
    if (string.Equals(resource, "_BIN_", StringComparison.OrdinalIgnoreCase))
    {
        resource = "BIN";
    }
    // 原业务逻辑...
    return Ok(/* 返回数据 */);
}

• 优点：无需修改IIS安全规则，适合无法调整服务器配置的场景。
• 缺点：需要少量代码调整，重写规则需匹配业务路径格式。

3. 使用通配符简化alwaysAllowedUrls配置

如果所有业务BIN路径都遵循统一格式（如api/{controller}/{action}/{version}/BIN），直接用通配符替代逐条配置：

<security>
  <requestFiltering>
    <alwaysAllowedUrls>
      <add url="api/*/*/*/BIN" />
      <!-- 如果有其他格式，可添加更通用的通配符，比如api/**/BIN -->
    </alwaysAllowedUrls>
  </requestFiltering>
</security>

• 优点：配置最简单，无需修改代码。
• 缺点：依赖路径格式的一致性，需确保通配符不会意外放行非业务路径的请求。

内容的提问来源于stack exchange，提问作者Skip Saillors