如何在IIS中配置ASP.NET Core应用：实现自定义401错误页对未授权用户可见且其他内容保持访问限制

这个问题的核心原因是你的全局授权规则把自定义错误页也给限制住了——未授权用户连访问错误页的权限都没有，自然只能看到401响应。要解决这个问题，你只需要给错误页单独配置一个允许所有用户访问的规则，同时保持主应用的权限限制不动，完全不需要修改ASP.NET Core应用代码。

完整配置示例 #

你需要在web.config中添加两个<location>节点：一个用于限制主应用的访问，另一个专门放开错误页的权限：

<!-- 主应用权限限制：仅允许指定用户访问 -->
<location path="." inheritInChildApplications="false">
  <system.webServer>
    <handlers>
      <add name="aspNetCore" path="*" verb="*" modules="AspNetCoreModuleV2" resourceType="Unspecified" />
    </handlers>
    <aspNetCore processPath="dotnet" arguments=".\MyDLL.dll" stdoutLogEnabled="false" stdoutLogFile=".\logs\stdout" hostingModel="inprocess" />
    <security>
      <authorization>
        <remove users="*" roles="" verbs="" />
        <add accessType="Allow" users="user.withaccess" />
      </authorization>
    </security>
    <!-- 自定义错误页配置 -->
    <httpErrors errorMode="Custom" existingResponse="Replace">
      <remove statusCode="401" subStatusCode="-1" />
      <error statusCode="401" subStatusCode="2" prefixLanguageFilePath="" path="401.htm" responseMode="File" />
    </httpErrors>
  </system.webServer>
</location>

<!-- 单独放开错误页的访问权限：允许所有用户（包括未授权用户）访问 -->
<location path="401.htm" inheritInChildApplications="false">
  <system.webServer>
    <security>
      <authorization>
        <remove users="*" roles="" verbs="" />
        <add accessType="Allow" users="*" />
      </authorization>
    </security>
  </system.webServer>
</location>

关键说明 #

• 主应用节点：保留你原来的授权规则，确保只有user.withaccess能访问应用的核心内容。
• 错误页节点：通过path="401.htm"指定单独的规则，这里允许所有用户（users="*"）访问该文件，这样未授权用户被拒绝访问主应用后，IIS可以正常返回这个错误页。
• httpErrors配置：建议把existingResponse设为Replace，这样IIS会用自定义错误页完全替换默认的401响应，确保用户看到的是你自定义的页面。

验证步骤 #

1. 确保401.htm文件存在于你的站点根目录下。
2. 重启IIS站点使配置生效。
3. 用未授权的用户账号访问应用，此时应该会看到你自定义的401错误页，而不是默认的401响应。

这样配置后，既保证了主应用的访问权限限制，又能让未授权用户正常看到自定义错误页，完全符合你的需求。

内容的提问来源于stack exchange，提问作者Jan-Patrick Ahnen