Windows IIS服务器PHP应用UNC路径文件函数访问共享文件夹失效求助

一、检查IIS应用池运行身份 #

• 确认应用池是否仍配置为域用户身份运行：若应用池改用本地系统/本地服务账户，将无法跨域访问共享资源。可在IIS管理器中找到对应应用池，查看「高级设置」里的「标识」选项。
• 验证该域用户对共享文件的访问权限：即便用户称权限未变更，也需确认应用池账户与手动访问时使用的身份一致，且未被意外移除权限。

二、核查PHP运行模式与身份上下文 #

• 若PHP以FastCGI模式运行：确认fastcgi.impersonate配置是否为1（可在php.ini或IIS的FastCGI设置中查看）。禁用模拟时，PHP会以应用池身份而非当前登录用户身份访问共享资源。
• 若使用ISAPI模块：检查是否启用了身份模拟，确保PHP能继承IIS的Windows身份验证上下文。

三、排查NTLM/Kerberos身份验证双跳问题 #

跨服务器访问易因身份传递失效导致问题，重点检查：

• 验证SPN注册：在域控制器上确认已为IIS服务器注册正确的SPN，格式为HTTP/<IIS服务器FQDN>@<域名>。
• 检查委派权限：在Active Directory中找到应用池运行的域用户，查看「委派」选项卡是否设置了信任委派（可选择「信任此用户进行委派到任何服务（仅Kerberos）」或针对共享服务器的特定委派）。
• 排查NTLM限制：检查组策略中是否有Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers等相关设置在故障时间段被修改，导致NTLM身份传递被阻断。

四、检查服务器端网络与安全策略变更 #

• 查看系统更新记录：检查2023年3月22-25日期间IIS服务器和共享服务器的Windows补丁安装情况，部分KB更新可能修改了身份验证或文件共享策略。
• 验证防火墙规则：确认IIS服务器与共享服务器之间的SMB端口（445、139）未被新的防火墙规则阻断。
• 检查本地安全策略：查看共享服务器的「从网络访问此计算机」用户列表是否包含相关账户，「拒绝从网络访问此计算机」中是否误添加了目标账户。

五、日志与代码调试 #

• 启用IIS失败请求跟踪：捕获PHP访问共享文件时的请求日志，重点查看身份验证阶段的错误信息。
• 分析Windows事件日志：
  • 在IIS服务器的「应用程序日志」「系统日志」中查找身份验证、文件访问相关的错误事件（如Event ID 4625、5140）。
  • 在共享服务器的「安全日志」中检查是否有来自IIS服务器的访问被拒绝记录。
• 代码调试：在PHP中添加调试代码，用var_dump($_SERVER['AUTH_USER'])确认当前认证用户，用exec('whoami')查看PHP进程实际运行账户，尝试直接访问共享文件并捕获错误（开启error_reporting(E_ALL)和display_errors）。

内容的提问来源于stack exchange，提问作者Franco Tassi