IIS Express虚拟目录报401.2错误 如何确认运行账户配置权限

确认IIS Express运行时使用的用户身份 #

有两个最直接的方式可以查到准确的运行身份：

• 任务管理器直接查询
  1. 启动你的Web项目，让IIS Express正常启动运行
  2. 打开Windows任务管理器，切换到「详细信息」面板
  3. 在进程列表中找到iisexpress.exe，对应行的「用户名」列的值，就是IIS Express当前的运行身份
     默认规则：IIS Express不会使用IIS内置的IUSR、IIS_IUSRS这类服务账号运行，它默认继承启动它的进程的权限——也就是你启动Visual Studio/直接启动IIS Express时所用的当前Windows登录账号，如果你用管理员权限启动VS，运行身份就是你的当前登录管理员账号。
• 代码输出验证
  如果你想在请求上下文中确认身份，可以临时加测试代码输出：
  • .NET Framework项目：在站点根目录新建临时test.aspx文件，写入代码<% Response.Write(System.Security.Principal.WindowsIdentity.GetCurrent().Name); %>，启动站点后访问/test.aspx，页面输出的就是当前进程运行身份
  • .NET Core/.NET 5+项目：临时加一个测试接口，返回System.Security.Principal.WindowsIdentity.GetCurrent().Name即可

针对你的场景的问题修复步骤 #

你遇到的401.2错误除了权限不匹配，还有两个高频踩坑点，按顺序排查即可：

1. 不要用盘符映射的方式指向服务器目录
   网络映射盘符是和用户交互式登录会话绑定的，就算你在资源管理器里给当前账号映射了网络盘，IIS Express运行时大概率识别不到这个盘符，直接把虚拟目录的物理路径改成UNC格式的网络路径即可，格式为\\服务器IP\共享文件夹名。
2. 配置两层访问权限
   你需要给查到的IIS Express运行账号配置两层权限，缺任意一层都会报401：
   • 共享权限：找到服务器上的目标共享目录，右键打开「属性」-「共享」-「高级共享」-「权限」，添加对应的运行账号，给予「读取」权限后保存
   • NTFS权限：切换到目录属性的「安全」选项卡，点「编辑」-「添加」，加入同一个运行账号，分配读取&执行、列出文件夹内容、读取三个基础权限，应用保存。
3. 校验IIS Express的身份验证配置
   打开项目对应的IIS Express配置文件，路径一般是解决方案根目录下的隐藏文件夹.vs\config\applicationhost.config，找到你站点对应的<security>配置段，确认身份验证规则匹配你的使用场景：

   <system.webServer>
     <security>
       <authentication>
         <!-- 匿名访问开启时，userName留空代表使用当前进程身份，不要指定IUSR避免权限不匹配 -->
         <anonymousAuthentication enabled="true" userName="" />
         <!-- 不需要域账号Windows认证就保持关闭，需要使用的话再设为true -->
         <windowsAuthentication enabled="false" />
       </authentication>
     </security>
   </system.webServer>
   

校验小技巧：配置完成后，可以先在资源管理器地址栏输入你配置的UNC路径，确认当前Windows账号能正常打开、读取路径下的文件，再启动站点测试，能排除大部分路径不可达的问题。

内容的提问来源于stack exchange，提问作者Gareth Parry