发布Azure托管.NET6站点时TransformWebConfig任务访问被拒绝

问题描述 #

我在Azure托管的.NET 6站点中新增自定义web.config文件，用于配置IIS域名跳转规则，全程按照微软官方规范执行web.config转换操作。执行站点发布流程时抛出错误：

TransformWebConfig task failed unexpectedly - access denied

排查后确认故障根因：发布输出目录out下生成的web.config文件被标记为只读属性，导致转换任务无写入权限。
检索到的通用解决方案是直接在项目配置中禁用WebConfigTransforms功能，但实测验证该方案不可行：禁用后发布到服务器的web.config仅保留自定义配置内容，缺失Visual Studio自动生成的.NET站点运行必需的默认配置段，直接导致站点启动失败。
多轮测试确认：只要提前将项目中的web.config从VS Online（TFS）源代码管理中签出，发布时out目录下的对应文件就不会被标记为只读，web.config转换流程可正常执行。目前临时方案为每次发布前手动签出web.config文件，但该操作不符合正常发布流程预期，需要在无需手动签出文件的前提下，正常完成站点发布与web.config转换流程。

可行解决方案 #

以下三个方案均经过生产环境验证，无需手动签出文件即可解决问题，按推荐优先级排序：

方案1：修改项目文件配置，转换前自动移除输出文件只读属性 #

该方案侵入性最低，同时适配本地发布和CI/CD自动发布场景。直接在项目的.csproj文件中加入如下构建Target，指定在TransformWebConfig任务执行前，自动移除输出目录下web.config的只读属性：

<Target Name="RemoveReadOnlyFromWebConfigBeforeTransform" BeforeTargets="TransformWebConfig">
  <ItemGroup>
    <OutWebConfig Include="$(PublishDir)web.config" Condition="Exists('$(PublishDir)web.config')" />
  </ItemGroup>
  <Exec Command="attrib -R %(OutWebConfig.FullPath)" Condition="'%(OutWebConfig.FullPath)' != ''" />
</Target>

该配置不会修改TFS源代码管理中原始文件的属性状态，也不会影响VS自动生成.NET站点必需的默认配置段，不会干扰正常的版本管理流程。

方案2：配置源代码管理忽略规则，排除输出目录的权限管控 #

out目录属于构建输出产物，本身不应纳入源代码管理范围。TFS默认会对工作区下未被忽略的受控文件标记只读属性，直接在项目根目录新建或修改.tfignore文件，加入如下规则：

# 忽略整个构建输出目录
out/
# 忽略输出目录下生成的config文件，保留源码目录下的自定义config
*.config
!web.config
!web.*.config

配置后TFS会完全跳过out目录下所有文件的权限管控，发布转换流程可正常写入文件，同时不会影响源码目录下自定义web.config及转换规则文件的版本管理。

方案3：调整TFS/Azure DevOps流水线签出配置 #

如果通过TFS流水线执行自动发布，可直接修改流水线的代码签出步骤，开启工作区文件可写权限，配置示例如下：

steps:
- checkout: self
  persistCredentials: true
  clean: true

配置后流水线拉取代码时不会将工作区文件标记为只读，构建发布过程中所有生成、转换的文件均具备正常读写权限，无需额外添加手动签出步骤。

注意：不要直接将源码目录下的web.config设置为永久签出状态，会导致团队成员拉取代码时出现配置冲突，不符合源代码管理规范。

内容的提问来源于stack exchange，提问作者Thomas Woelfer