Docker容器内IIS部署的.NET 3.1服务外部访问报HTTP 403 Forbidden

针对你遇到的容器内可正常访问、外部访问返回403 Forbidden的问题，从以下几个方向逐一排查：

1. 端口映射与IIS站点绑定不匹配 #

• Windows容器内的IIS默认监听80端口，你的Dockerfile仅声明EXPOSE 8080，但未配置IIS站点绑定到8080端口。如果运行容器时使用-p 8080:8080的映射规则，容器内的IIS根本没在8080端口提供服务，自然返回403。
• 验证操作：进入容器执行netstat -ano | findstr :8080，若没有监听记录，需在Dockerfile中添加站点绑定配置：

  New-WebBinding -Name 'Default Web Site' -Port 8080 -Protocol http
  

  或者运行容器时改为映射8080到容器80端口：docker run -p 8080:80 <镜像名>

2. 站点目录权限配置缺失 #

• 容器内的IIS_IUSRS或应用池身份可能没有C:\inetpub\wwwroot\api目录的读取权限，即使本地IIS权限一致，容器环境的默认权限可能存在差异。
• 修复操作：在Dockerfile中添加权限赋予命令：

  Icacls C:\inetpub\wwwroot\api /grant "IIS_IUSRS:(OI)(CI)RX"
  

3. .NET 3.1托管组件未正确安装 #

• 你提到安装了.NET 3.1 SDK和.NET 6 Hosting Bundle，但Dockerfile中仅安装了Web-ASP，缺少.NET 3.1的运行时及IIS托管模块，导致API无法被正确托管。
• 修复操作：在Dockerfile中添加.NET 3.1运行时和托管组件的安装步骤，例如：

  ADD https://download.visualstudio.microsoft.com/download/pr/206442/749b5f9fec4a08b2b59b53a45a6e88a6/dotnet-hosting-3.1.31-win.exe dotnet-hosting-3.1.31-win.exe
  Start-Process .\dotnet-hosting-3.1.31-win.exe -ArgumentList '/install', '/quiet', '/norestart' -NoNewWindow -Wait
  

4. 站点默认文档未配置Swagger入口 #

• 容器内curl访问的是完整Swagger路径（如/swagger/index.html），但外部访问时可能仅输入了根路径（http://localhost:8080），而站点默认文档未包含Swagger入口，且IIS禁用了目录浏览，因此返回403。
• 验证操作：外部访问时尝试使用完整路径http://localhost:8080/swagger/index.html，若能正常访问，需在Dockerfile中添加默认文档配置：

  Add-WebConfigurationProperty -Filter '/system.webServer/defaultDocument/files' -Name '.' -Value @{value='swagger/index.html'}
  

5. Docker端口映射与网络问题 #

• 检查docker ps的输出，确认端口映射规则正确（如0.0.0.0:8080->80/tcp或->8080/tcp）；同时在本地执行netstat -ano | findstr :8080，确认端口未被其他进程占用。
• Windows容器对host网络模式支持有限，若使用了该模式，建议改为默认的bridge模式重试。

内容的提问来源于stack exchange，提问作者김한주