执行W3WP中DirectoryInfo().GetFiles()时抛出System.UnauthorizedAccessException原因探究

咱们先理清楚你的场景：你运行ASP.NET WebForm程序，通过new DirectoryInfo(path).GetFiles(pattern)读取域共享文件夹内容，应用池配置了域用户运行，但代码执行时却模拟了你自己的用户名；权限上你所在组对文件夹树和共享有完全控制，还给Everyone组加了读取类权限，但应该还是遇到访问问题了对吧？我给你梳理几个关键排查点：

一、先确认用户模拟的开关状态 #

如果你的Web.config里存在<identity impersonate="true"/>节点，那不管应用池配置了什么用户，代码执行时都会优先模拟当前请求的用户（也就是你自己）。

• 要是你想让应用池的域用户来访问共享，直接把impersonate改成false，或者删掉这个节点（默认就是false）。
• 要是必须保留模拟，那得重点排查你自己的用户身份能不能正常访问共享——权限配置看起来没问题，但可能有隐藏的叠加或继承问题。

二、验证共享权限与NTFS权限的交集规则 #

共享权限和NTFS权限是取交集生效的，哪怕你组有完全控制，也要确认：

• 共享权限里，你的用户/组有没有被明确拒绝（拒绝权限优先级最高），或者有没有分配足够的权限（比如读取、修改，取决于你要执行的操作）。
• NTFS权限要确保是继承到所有子文件夹和文件的，有时候父文件夹给了权限，但子文件夹没勾选继承，也会导致访问失败。

三、检查身份验证方式是否匹配 #

如果用的是Windows身份验证：

• 要在IIS里开启Windows身份验证，关闭匿名身份验证（如果不需要的话），这样模拟的用户才是有效的域身份，不会变成匿名用户去访问共享。
• 要是用的是Forms身份验证，模拟的用户不是域内用户，自然没法访问域共享，这种情况要么切换到Windows身份验证，要么改用应用池身份访问。

四、先搞清楚到底是谁在访问共享 #

可以在代码里加一行调试代码，输出当前执行的身份，这样就能明确到底是应用池用户还是你的用户在尝试访问共享：

Response.Write($"当前执行身份：{System.Security.Principal.WindowsIdentity.GetCurrent().Name}");

这一步能帮你快速定位问题出在哪个身份的权限上。

五、特殊场景：跨机器访问的双跳问题 #

如果你的Web服务器和文件服务器是两台不同的机器，且开启了用户模拟，大概率会遇到Kerberos双跳问题——Web服务器没法把你的身份委派给文件服务器去访问共享。这时候哪怕权限全给够，也会出现访问被拒绝的情况，需要在域控制器上配置Kerberos约束委派。

内容的提问来源于stack exchange，提问作者StarNamer