如何在IIS6中禁止直接访问目录URL但允许访问目录内容？

一、实现禁止目录链接访问但允许文件访问的方法 #

要实现禁止公众访问www.foobar.com/products/这类目录链接，同时允许访问目录内的具体文件，可通过以下两种方式配置：

1. 关闭目录浏览功能（基础设置） #

在IIS管理器中定位到目标站点或products目录，找到目录浏览功能，点击右侧的“禁用”。这是最基础的设置，关闭后IIS不会返回目录结构列表，但如果目录下存在默认文档（如index.html、default.aspx），访问目录链接时仍会返回默认文档内容，需结合后续规则补充限制。

2. 配置URL重写规则（精准限制） #

在products目录下创建或修改web.config文件，添加重写规则，当请求为目录路径时返回403禁止访问：

<configuration>
  <system.webServer>
    <!-- 确保目录浏览已关闭 -->
    <directoryBrowse enabled="false" />
    <rewrite>
      <rules>
        <rule name="Block Direct Directory Access" stopProcessing="true">
          <!-- 匹配空路径（即目录本身） -->
          <match url="^$" />
          <conditions>
            <!-- 判断请求路径是否为真实存在的目录 -->
            <add input="{REQUEST_FILENAME}" matchType="IsDirectory" />
          </conditions>
          <!-- 返回403禁止访问 -->
          <action type="CustomResponse" statusCode="403" statusReason="Forbidden" statusDescription="Directory access is not permitted." />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

二、排查该目录未返回403的原因 #

若其他目录关闭目录浏览后会返回403，但products目录不会，且文件夹安全设置无差异，可从以下几点排查：

• 检查是否存在默认文档：查看products目录下是否有index.html、default.aspx、index.php等IIS默认文档列表中的文件。如果存在，访问目录链接时IIS会自动返回该文件内容，而非403。可删除这类文件，或修改站点的“默认文档”设置，移除相关条目。
• 检查配置继承情况：确认products目录是否继承了父级站点的特殊配置。比如父级web.config中是否开启了目录浏览，或存在针对products目录的例外重写规则。可在products的web.config中添加<clear />标签重置继承的规则。
• 检查URL重写规则：查看站点或products目录的URL重写规则，是否存在将目录请求重定向到其他页面或文件的规则，导致未返回403。
• 验证IIS配置生效：修改配置后，重启IIS站点或应用池，确保新配置生效。

内容的提问来源于stack exchange，提问作者Joe Defill