为什么IIS 10共享主机中web.config IsFile条件会触发500错误

原因说明 #

你遇到的是IIS URL重写模块的设计特性，不属于BUG，是其内置的权限校验逻辑导致的：

• URL重写模块的IsFile/IsDirectory匹配规则执行时，会对目标路径的每一级父目录依次校验遍历文件夹权限，校验顺序是从路径最顶层（也就是你这里的CommonRoot）开始逐层向下。你没有CommonRoot的访问权限，当目标文件真实存在时，模块必须完成全路径的权限校验才能确认文件可访问，此时遇到CommonRoot的权限限制就会触发500错误。
• 目标文件不存在时不会报错的原因：此时模块在路径解析过程中就可以直接判定文件不存在，不需要完成全路径的权限校验流程，因此不会触发CommonRoot的权限检查，自然不会抛出错误。
• Perl脚本可以正常访问的原因：Perl的文件存在性检查调用Windows原生API，默认启用了「绕过遍历检查」用户权限（共享主机会默认给站点应用池身份开通该权限），可以跳过无权限的上层目录，直接校验你有权限的MyRoot及子目录的权限，因此可以正常访问Shared目录下的文件，和重写模块的校验逻辑存在本质差异。

解决方案 #

你可以通过以下两种方式绕过该限制：

1. 使用IIS内置服务器变量构造相对路径，避免显式写出CommonRoot层级的路径，示例配置如下：

<add input="{APPL_PHYSICAL_PATH}..\Shared\foo" matchType="IsFile" />

{APPL_PHYSICAL_PATH}指向WebSite1的物理根目录，通过相对路径跳转至上级的Shared目录，重写模块解析该路径时不会触发CommonRoot层级的权限校验。
2. 联系共享主机服务商，在WebSite1下创建指向Shared目录的虚拟目录，之后直接校验虚拟目录下的文件即可，不需要跨站点目录访问。

内容的提问来源于stack exchange，提问作者Marcel V.