IIS下ASP.NET项目限制特定路径外部访问并保留内部调用权限

方法1：利用IIS URL重写规则精确控制访问路径 #

在项目根目录的web.config中添加URL重写规则，仅允许指定的/home和/login路径通过HTTP访问，其他路径（包括/resources）直接返回403禁止访问：

<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <!-- 放行指定的合法路径 -->
        <rule name="Allow Home and Login" stopProcessing="true">
          <match url="^mypage/(home|login)$" />
          <action type="None" />
        </rule>
        <!-- 拦截所有其他外部HTTP请求 -->
        <rule name="Block Unauthorized Paths" stopProcessing="true">
          <match url=".*" />
          <action type="CustomResponse" statusCode="403" statusReason="Forbidden" statusDescription="Access Denied" />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

该规则仅作用于外部HTTP请求，不会影响代码内部通过Server.MapPath、文件流等方式读取resources文件夹的操作，只要应用程序池账户对该文件夹拥有读取权限即可正常访问。

方法2：通过web.config的location节点单独限制文件夹访问 #

针对resources文件夹配置专属的授权规则，直接拒绝所有HTTP请求访问，同时确保home和login路径可正常访问：

<configuration>
  <!-- 禁止外部访问resources文件夹 -->
  <location path="resources">
    <system.webServer>
      <security>
        <authorization>
          <add accessType="Deny" users="*" />
        </authorization>
      </security>
    </system.webServer>
  </location>
  <!-- 放行home路径 -->
  <location path="mypage/home">
    <system.webServer>
      <security>
        <authorization>
          <add accessType="Allow" users="*" />
        </authorization>
      </security>
    </system.webServer>
  </location>
  <!-- 放行login路径 -->
  <location path="mypage/login">
    <system.webServer>
      <security>
        <authorization>
          <add accessType="Allow" users="*" />
        </authorization>
      </security>
    </system.webServer>
  </location>
</configuration>

此方式精准针对目标文件夹拦截HTTP访问，内部代码读取文件时使用应用程序池身份，只要在文件系统中给应用程序池账户（如IIS AppPool\你的应用池名称）分配读取权限，即可保证内部调用正常。

关键注意事项 #

• 切勿修改resources文件夹的文件系统权限，必须确保应用程序池账户拥有读取权限，否则内部代码会失去访问能力。
• 之前使用HTTP-Redirect或filteringRules失效，大多是因为规则范围过宽，误拦截了内部文件读取逻辑，上述两种方法仅作用于外部HTTP请求，不会干扰内部代码的文件操作。
• 测试时可直接在浏览器访问localhost/mypage/resources/importantNotes.json，应返回403；同时运行代码中读取该文件的逻辑，确认能正常获取内容。

内容的提问来源于stack exchange，提问作者LeotrimR