IIS站点用ServiceAccountA丢失样式，切换至ServiceAccountB正常，如何排查权限缺失？

• 检查静态资源目录NTFS权限
  找到网站CSS、JS、图片等静态资源所在的物理目录，右键进入「属性」→「安全」选项卡，对比ServiceAccountA和ServiceAccountB的权限配置，确认前者是否拥有读取和执行、列出文件夹内容、读取权限。若缺失，添加对应权限并应用到所有子文件夹与文件。

• 验证IIS_IUSRS组权限实际生效情况
  即便账号已加入IIS_IUSRS组，也可能存在权限继承限制或被覆盖的情况。进入目录安全选项卡的「高级」→「有效权限」，选择ServiceAccountA查看其实际拥有的权限，与ServiceAccountB的有效权限做差异对比。

• 检查网站身份验证配置
  打开IIS管理器，进入对应网站的「身份验证」模块：

  • 若启用匿名身份验证，确认是否配置为应用池标识，而非固定用户；
  • 若使用Windows身份验证等其他方式，验证ServiceAccountA是否具备通过验证访问资源的权限。

• 分析IIS日志与Windows事件日志

  • 查看IIS日志（默认路径C:\inetpub\logs\LogFiles），定位静态资源请求的状态码（如403表示权限拒绝）；
  • 打开事件查看器→Windows日志→应用程序/系统日志，搜索ServiceAccountA相关的权限报错事件，定位具体缺失的权限项。

• 检查临时目录权限
  IIS应用池运行依赖C:\Windows\Temp、C:\inetpub\temp等临时目录，确认ServiceAccountA对这些目录拥有读取和写入权限，对比ServiceAccountB的权限配置——静态资源缓存可能依赖这些目录。

• 测试单个静态资源直接访问
  在浏览器中输入单个静态资源的完整URL（如http://yourdomain/css/style.css），观察返回的状态码与内容。若返回403，直接指向该文件权限不足；若返回异常内容，结合日志进一步排查。

内容的提问来源于stack exchange，提问作者Raymond Kelly