基于IIS10的Web Farm中Blazor应用共享目录部署权限问题

1. Blazor应用能否从共享目录加载？ #

可以。ASP.NET Core（包括Blazor Server/WASM托管模式）完全支持从网络共享目录加载应用程序，只要配置正确且权限配置到位。你的场景中Content Server本地能正常运行应用，说明程序本身无问题，核心矛盾是Web服务器（Web1/Web2）访问共享目录及执行dotnet.exe的权限缺失。

2. 权限问题的关键修正配置 #

（1）共享目录权限配置 #

• 在Content Server上，给共享目录同时配置NTFS权限和共享权限：
  • 授予Web服务器的计算机账户（如DOMAIN\WEB1$、DOMAIN\WEB2$）以下权限：读取&执行、列出文件夹内容、读取
  • 若为工作组环境，可在Content Server创建与Web服务器应用池账户同名同密码的本地账户，再给该账户分配上述权限（不建议生产环境用Everyone权限测试）

（2）IIS应用池权限调整 #

• 放弃默认的ApplicationPoolIdentity，改用域账户（域环境）或本地同步账户（工作组环境）运行Web1/Web2的应用池，该账户需同时满足：
  • 拥有访问Content Server共享目录的权限
  • 拥有本地C:\Program Files\dotnet\目录的读取&执行权限（即能执行dotnet.exe）
• 若坚持使用ApplicationPoolIdentity，需在Content Server的共享权限中添加Web服务器的计算机账户（如WEB1$），因为该身份会以计算机账户身份访问网络资源

（3）替换caspol的权限策略调整 #

caspol是.NET Framework的代码访问安全工具，对.NET Core完全无效，无需再尝试。针对.NET Core需：

• 确保应用池运行账户拥有共享目录的读取权限（含子目录和所有文件）
• 在Web服务器打开secpol.msc（本地安全策略），进入本地策略→用户权限分配，给应用池运行账户添加以下权限：
  • 调整进程内存配额
  • 替换进程级令牌
  • 登录为服务（域账户运行应用池时需要）

3. 是否需要在web.config或环境中添加绝对路径？ #

需要，且是核心配置步骤：

（1）web.config配置 #

在Web1/Web2的IIS站点对应的web.config中，修改aspNetCore节点，用UNC路径指定共享目录中的应用程序：

<aspNetCore processPath="C:\Program Files\dotnet\dotnet.exe" 
            arguments="&quot;\\ContentServer\SharedBlazorApp\BlazorServer.dll&quot;" 
            stdoutLogEnabled="true" 
            stdoutLogFile="\\ContentServer\SharedLogs\stdout" 
            hostingModel="inprocess" />

注意：

• arguments中的UNC路径需用双引号包裹，XML中要转义为"
• 日志目录stdoutLogFile也要指向Content Server的共享目录（需确保应用池账户有写入权限）

（2）环境变量（可选） #

若需指定.NET Core运行环境，可在web.config的aspNetCore节点内添加：

<aspNetCore ...>
  <environmentVariables>
    <environmentVariable name="ASPNETCORE_ENVIRONMENT" value="Production" />
    <environmentVariable name="DOTNET_CLI_HOME" value="C:\Temp\DotNetCli" />
  </environmentVariables>
</aspNetCore>

无需额外添加绝对路径类的环境变量，仅需在web.config中正确配置UNC路径即可。

额外排查步骤 #

• 在Web1上用应用池运行账户登录，手动访问\\ContentServer\SharedBlazorApp，确认能正常读取文件
• 开启stdout日志后，查看日志文件中的具体错误信息（比Windows事件日志更详细）
• 确认Web1/Web2与Content Server的.NET Core Runtime版本完全一致（含补丁版本）

内容的提问来源于stack exchange，提问作者VcDeveloper