Azure生产环境Kentico Task Scheduler反复报403 Forbidden错误

固定报错特征 #

报错触发时的固定调用栈：

• System.Net.WebClient.DownloadDataInternal(Uri address, WebRequest& request)
• System.Net.WebClient.DownloadString(Uri address)
• CMS.Scheduler.SchedulingHelper.RunSchedulerRequest(String url)
  报错目标请求地址固定为 /scheduler.ashx，抛出(403) 禁止访问的WebException异常。

高频触发原因与对应修复 #

• Azure安全规则拦截自调用请求
  • 开启了WAF的站点会默认拦截无标准浏览器请求头的服务端回环请求，Kentico Task Scheduler通过内置WebClient发起的自身调度请求无常规浏览器标识，极易被Bot防护规则判定为恶意访问
  • 修复操作：在WAF规则中新增针对/scheduler.ashx路径的放行规则，允许站点自身出站IP发起的对该路径的无请求头访问；同时检查站点IP访问限制配置，确保应用服务的出站回环IP在允许列表内，避免被IP拦截模块误判。
• 站点自身权限配置不匹配
  • 检查全局身份验证拦截规则：如果站点配置了Azure AD登录、Basic Auth等强制身份校验，需单独为/scheduler.ashx路径添加匿名访问例外，避免未携带身份凭证的调度请求被拦截
  • 核对调度器密钥配置：进入Kentico设置 > 系统 > 调度模块，确认调度请求携带的共享密钥与站点端校验值完全一致，密钥不匹配时scheduler.ashx会直接返回403响应
  • 检查物理文件权限：确认~/CMS/scheduler.ashx文件随部署包正确发布到站点目录，应用服务运行身份对该文件保有读取权限，避免因文件缺失、权限被重置触发访问拒绝。
• 传输层配置不兼容
  • 若站点强制要求TLS1.2及以上版本加密，需在应用启动逻辑中显式指定ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls13;，避免WebClient使用低版本TLS握手时被安全模块拦截返回403
  • 核对调度器配置的目标URL与站点实际绑定域名的一致性，若域名存在强制跳转规则，需保证调度请求的目标地址匹配站点无跳转的主绑定地址，避免跳转过程中触发访问权限校验。

内容的提问来源于stack exchange，提问作者ctor