IIS 8是否允许远程用户列出Web应用/images子文件夹的图片文件？

咱们先明确说：默认情况下，IIS 8是不允许远程用户直接列出这个/images文件夹里的100张图片文件名的，这是它内置的安全防护机制之一。

具体来说：

• IIS默认会禁用「目录浏览」功能——这个功能就是专门用来让访问者查看文件夹内文件列表的。如果没开启它，当远程用户访问yourdomain.com/images这个路径时，要么会返回403禁止访问的错误页面，要么如果这个文件夹里存在默认文档（比如index.html、default.aspx这类预设的首页文件），就会直接加载那个默认文档，绝对不会把文件夹里的所有图片文件名列出来。

那什么时候会允许呢？

• 只有当你主动手动开启了目录浏览功能之后，远程用户才能看到文件列表。开启的方式有两种：一是通过IIS管理器的「功能视图」找到「目录浏览」选项启用；二是在站点的web.config文件里添加对应的配置节点来开启。

最后提个小建议：如果不是业务必须让用户看到文件列表，就保持目录浏览功能关闭，避免暴露服务器的文件结构，减少不必要的安全风险。

内容的提问来源于stack exchange，提问作者user7560542