Azure App Service部署WCF遇权限错误：无法查看此目录或页面

错误信息整理 #

初始错误：You do not have permission to view this directory or page
补充提示：

This is the generic Access Denied error returned by IIS. Typically, there is a substatus code associated with this error that describes why the server denied the request. Check the IIS Log file to determine whether a substatus code is associated with this failure.

翻译：

这是IIS返回的通用访问拒绝错误。通常这类错误会附带一个子状态码，用于说明服务器拒绝请求的原因。请查看IIS日志文件，确认该错误是否关联了子状态码。

排查步骤 #

1. 提取IIS日志的子状态码 #

在Azure App Service控制台操作：

• 路径1：进入日志->日志流，实时查看请求的sc-substatus字段
• 路径2：打开高级工具->Kudu->调试控制台->LogFiles，找到W3SVCxxxx开头的IIS日志文件，查看具体请求的子状态码
  常见子状态码对应原因：
• 401.1：登录凭据无效
• 401.2：身份验证配置错误
• 403.1：执行权限被拒绝
• 403.4：请求未使用SSL（服务要求SSL）
• 403.16：客户端证书无效/不受信任
• 403.17：客户端证书过期/未生效

2. 校验WCF端点与绑定配置 #

打开Web.config文件，检查核心配置：

• 确认<endpoint>的address路径无拼写错误，与访问URL匹配
• 绑定配置（如<basicHttpBinding>）的安全模式与访问方式一致：若服务要求HTTPS，需设置security mode="Transport"
• 确认<serviceHostingEnvironment multipleSiteBindingsEnabled="true"（多域名/端口绑定场景需开启）

3. 检查App Service运行时配置 #

• 进入配置->常规设置，确保HTTP版本设为1.1（WCF对HTTP/2兼容性较差）
• 打开身份验证设置：
  • 若服务需身份验证，确认对应身份提供者（如Azure AD、基本身份验证）配置正确，用户凭据有效
  • 若无需身份验证，确保匿名访问已启用

4. 验证文件与目录权限 #

在Kudu调试控制台中：

• 确认IIS APPPOOL\你的应用名称身份对网站根目录及WCF相关文件有读取权限
• 若服务涉及文件读写，检查目标目录是否给该身份分配了写入权限

5. 启用WCF跟踪日志定位深层问题 #

在Web.config中添加跟踪配置，生成详细日志：

<system.diagnostics>
  <sources>
    <source name="System.ServiceModel" switchValue="Information, ActivityTracing" propagateActivity="true">
      <listeners>
        <add name="traceListener" type="System.Diagnostics.XmlWriterTraceListener" initializeData="D:\home\site\wwwroot\logs\WcfTrace.svclog" />
      </listeners>
    </source>
  </sources>
</system.diagnostics>

操作步骤：

1. 在Kudu控制台的wwwroot目录下创建logs文件夹
2. 保存Web.config后访问服务触发错误
3. 下载WcfTrace.svclog文件，用本地的SvcTraceViewer工具打开分析调用细节

内容的提问来源于stack exchange，提问作者Akshay