如何为Web服务器授予本地其他驱动器文件夹的访问权限

第一步：修正文件访问逻辑（优先解决路径错误问题） #

你当前的URL直接拼接了本地磁盘file:协议路径，属于逻辑错误，Web服务器默认只会处理站点根目录内的资源请求，直接暴露本地磁盘路径还会有严重安全隐患。推荐两种合规实现方式：

• 方案1：配置Web服务器虚拟目录/别名，将D:/courses/uploads/映射为站点下的统一访问路径，比如/cert-files/，最终用户访问路径为site.org/cert-files/5fcffcb32e2201.64085268.pdf
• 方案2：编写PHP代理脚本读取文件返回，完全不暴露真实存储路径，示例逻辑：

// get_cert.php
$file_name = $_GET['file'];
// 做文件名合法性校验，防止目录穿越攻击
if (!preg_match('/^[a-f0-9]+\.[0-9]+\.pdf$/i', $file_name)) {
    die("非法请求");
}
$file_path = "D:/courses/uploads/" . $file_name;
if (!file_exists($file_path)) {
    die("文件不存在");
}
header("Content-Type: application/pdf");
readfile($file_path);
exit;

用户访问路径改为site.org/get_cert.php?file=5fcffcb32e2201.64085268.pdf即可。

第二步：为目标文件夹授予Web服务器运行账户读取权限 #

首先确认你的Web服务器运行身份：

• Apache默认运行账户：Windows下通常是SYSTEM、apache或者安装时指定的自定义账户，Linux下为www-data、apache
• Nginx默认运行账户：Windows下通常是启动服务的用户，Linux下为www-data、nginx
• IIS默认运行账户：IUSR、IIS AppPool\你的站点对应应用池名称

Windows系统下权限配置步骤：

1. 打开D:/courses/文件夹属性，切换到「安全」选项卡
2. 点击「编辑」→「添加」，输入你确认的Web服务器运行账户名，点击「检查名称」验证通过后保存
3. 给该账户勾选「读取和执行」、「列出文件夹内容」、「读取」权限，点击应用
4. 勾选「替换子容器和对象的权限」，确保所有存量证书文件都继承父文件夹权限

第三步：对应Web服务器配置补充 #

Apache配置（修改httpd.conf或者对应虚拟主机配置文件） #

添加别名配置，同时开放目录访问权限：

Alias "/cert-files" "D:/courses/uploads"
<Directory "D:/courses/uploads">
    Require all granted
    AllowOverride None
    Options None
</Directory>

修改后重启Apache服务生效。

Nginx配置（修改nginx.conf 或者对应站点配置文件） #

在server块内添加location规则：

location /cert-files/ {
    alias D:/courses/uploads/;
    # 禁止目录遍历
    autoindex off;
}

修改后重载Nginx配置生效。

IIS配置 #

1. 打开IIS管理器，选中你的站点，右键选择「添加虚拟目录」
2. 别名填cert-files，物理路径选择D:/courses/uploads
3. 点击「连接为」，选择「特定用户」或者直接使用应用池身份，确保所选身份拥有目标目录读取权限
4. 进入虚拟目录的「权限」配置页，确认IUSR等相关账户已被授予读取权限

内容的提问来源于stack exchange，提问作者JDeLeon