IIS部署ASMX Web服务外部调用仅打开测试页无法返回XML响应问题

这两个现象都是ASMX框架的默认安全规则导致的，不需要修改服务业务代码，按以下步骤操作即可：

• WebService.asmx?op=GetSalesOrders是测试页的展示路由，不是Web方法的调用地址，不管是浏览器还是Postman直接请求这个地址都拿不到接口返回，和测试页上INVOKE按钮触发的请求完全不是同一个路径。
• 外部访问时提示"无法在本地服务器外部使用此测试页"是框架默认行为，从.NET Framework 1.1开始就默认禁止非localhost IP访问自动生成的调试测试页，避免公网用户直接通过页面触发服务操作，这个限制不影响实际接口调用，不需要特意放开。

第一步：修改服务配置放开HTTP调用权限 #

默认ASMX服务仅接受SOAP格式请求、且默认禁止远程HTTP GET/POST调用，要实现和本地点击INVOKE按钮完全一致的调用效果，需要在服务站点的web.config文件的<system.web>节点下添加如下配置：

<webServices>
  <protocols>
    <add name="HttpGet" />
    <add name="HttpPost" />
    <add name="HttpSoap" />
  </protocols>
</webServices>

配置保存后重启对应IIS站点即可生效。

说明：HttpPost就是INVOKE按钮默认使用的请求协议，开启后即可模拟按钮点击的请求效果。

第二步：使用正确的地址和请求格式调用 #

测试页INVOKE按钮实际请求的地址格式为[asmx文件路径]/[Web方法名]，和?op=后缀的路由没有关系：

GET 调用（适合无参/简单参数场景） #

• 请求地址：http://你的服务公网地址/站点虚拟路径/WebService.asmx/GetSalesOrders
• 参数传递：如果方法有入参，直接将参数名和值拼接在URL的QueryString部分即可，例如带startDate参数时地址写为http://你的服务公网地址/站点虚拟路径/WebService.asmx/GetSalesOrders?startDate=2024-01-01
• 不需要添加特殊请求头，发送普通GET请求即可拿到和本地点击INVOKE完全一致的XML响应。

POST 调用（适合多参/参数含特殊字符场景） #

• 请求地址和GET规则完全一致：http://你的服务公网地址/站点虚拟路径/WebService.asmx/GetSalesOrders
• 请求头必须配置：Content-Type: application/x-www-form-urlencoded
• 参数传递：将参数以键值对形式放在请求体中，格式为参数名1=值1&参数名2=值2，不要传JSON或XML格式的请求体，否则会返回请求格式错误。

常见问题排查 #

• 调用返回404：检查asmx文件路径、方法名拼写是否正确，确认目标Web方法为public修饰、且标记了[WebMethod]特性
• 调用返回403：检查web.config中的protocols配置是否正确，确认站点对应应用程序池的.NET Framework版本和开发时使用的版本一致
• 不需要花精力让外部网络能打开测试页，该页面仅用于本地调试，公网开放反而存在未授权调用的安全风险，直接请求上述接口地址即可正常拿到返回结果。

内容的提问来源于stack exchange，提问作者Christy