IIS自定义站点出现HTTP Error 401.3 - Unauthorized问题求助

我之前也碰到过完全一样的问题，虽然给IIS_IUSRS加了权限，但还是踩了几个容易忽略的坑，给你列几个关键排查点，大概率能解决：

• 检查权限的继承与应用范围
  你给Documents文件夹加了IIS_IUSRS的权限，但要确认这个权限有没有应用到所有子文件夹和文件。右键Documents→属性→安全→高级，确保勾选了「包括可从该对象的父项继承的权限」，或者点击「更改权限」→选中IIS_IUSRS的权限条目→勾选「将所有子对象权限条目替换为此对象的可继承权限条目」，应用后再测试。

• 确认应用池身份的权限
  很多时候大家容易忽略：如果你的IIS站点应用池用的是ApplicationPoolIdentity（默认设置），那实际访问文件的是IIS AppPool\[你的应用池名称]这个虚拟账户，而不是单纯的IIS_IUSRS组。你需要给C:\Users\name\Documents添加这个账户的读取权限：

  1. 右键文件夹→安全→编辑→添加
  2. 在「输入对象名称来选择」里输入IIS AppPool\DefaultAppPool（如果你的应用池是默认名称，换成你实际的应用池名即可）
  3. 给这个账户勾选「读取和执行」「列出文件夹内容」「读取」权限，应用保存。

• 排查拒绝权限与加密设置

  • 检查高级权限里有没有拒绝规则：在安全→高级的权限列表里，确保没有针对IIS相关账户的拒绝条目（拒绝权限会优先于允许权限，哪怕你加了允许也没用）。
  • 检查文件夹是否被EFS加密：右键Documents→属性→高级，看看「加密内容以便保护数据」有没有勾选。如果有，要么取消加密，要么把应用池身份账户添加到加密用户列表中。

• 验证身份验证设置
  打开IIS管理器→你的站点→身份验证，确认匿名身份验证是启用状态，然后编辑匿名身份验证，看看选择的是「特定用户：IUSR」还是「应用程序池标识」。如果是前者，确保IUSR账户也有Documents的读取权限；如果是后者，就按第二点给应用池账户加权限。

内容的提问来源于stack exchange，提问作者App2015