PHP/IIS通过UNC路径写入域内文件服务器遇权限拒绝问题求助

• 检查PHP的open_basedir限制：
  查看php.ini中的open_basedir配置，确认是否将目标共享目录（如\\fileserver\share）加入允许访问的路径列表。若未添加，即便系统权限足够，PHP也会直接拦截写入请求，修改后需重启IIS应用池。
• 确认共享目录的UNC路径写法：
  脚本必须使用标准UNC格式（\\服务器名\共享名），避免使用映射驱动器（如Z:\）——应用池上下文无法识别用户登录时映射的驱动器，必须用完整UNC路径。
• 验证应用池身份的实际权限上下文：
  先以目标域用户登录IIS服务器，在命令提示符执行echo test > \\fileserver\share\test.txt，确认手动操作可成功；再用PsExec模拟应用池环境：
  1. 执行psexec -u DOMAIN\用户名 -p 密码 -i cmd.exe
  2. 在弹出的cmd窗口重复写入命令，排查是否存在隐性权限问题。
• 检查文件服务器的防火墙/安全策略：
  确认文件服务器Windows防火墙允许SMB（445端口）入站，且域组策略未限制IIS服务器的SMB访问；同时检查文件服务器本地安全策略的“从网络访问此计算机”权限，确保域用户或IIS服务器的计算机账户在允许列表中。
• 查看IIS和PHP的错误日志：
  1. IIS日志：找到报错请求的状态码/子状态码（如401.5代表应用池身份验证失败）；
  2. PHP错误日志：开启日志记录（设置error_log路径、error_reporting = E_ALL），查看是否有更具体的权限细节（如文件重命名、父目录权限问题）。
• 检查应用池的“进程模型”设置：
  确认应用池身份确实为目标域用户，密码未过期或锁定；若PHP为32位、服务器为64位，需勾选“启用32位应用程序”，否则可能出现权限上下文异常。
• 排查NTFS权限的继承问题：
  若目标共享目录取消了权限继承，需确保域用户拥有创建文件/写入数据、创建文件夹/附加数据、写入属性、写入扩展属性这些具体权限，而非仅“修改”或“完全控制”的笼统权限；同时检查父目录权限是否影响子目录访问。
• 验证Kerberos身份验证是否正常：
  域环境跨服务器访问依赖Kerberos，在IIS服务器执行klist get fileserver，确认能获取针对文件服务器的Kerberos票据；若获取失败，需配置对应SPN（服务主体名称），确保应用池域用户可完成Kerberos身份验证。

内容的提问来源于stack exchange，提问作者Ploide