部署Node/Express API至IIS（iisnode）遇403禁止错误排查求助

我之前部署Node/Express到IIS时也踩过一模一样的403坑，当时明明配置了权限却还是报错，折腾了好一阵才搞定，给你列几个最值得优先排查的方向：

• 确认IIS必备模块是否正确安装
  部署Node应用到IIS必须依赖URL Rewrite和iisnode两个模块，而且要注意和你的Node版本（32/64位）匹配。另外，作为子应用的project2，必须在根目录的web.config里正确配置iisnode的入口文件和重写规则：

  <configuration>
    <system.webServer>
      <handlers>
        <!-- 确保path指向你的Express入口文件，比如server.js或app.js -->
        <add name="iisnode" path="server.js" verb="*" modules="iisnode" />
      </handlers>
      <rewrite>
        <rules>
          <!-- 将所有请求转发到入口文件 -->
          <rule name="NodeExpressRoute">
            <match url="/*" />
            <action type="Rewrite" url="server.js" />
          </rule>
        </rules>
      </rewrite>
    </system.webServer>
  </configuration>
  

  如果web.config里的路径写错或者规则缺失，很容易触发403。

• 检查应用池的核心设置
  虽然你用了environment应用池，但要确认两个关键配置：

  1. 托管管道模式：必须设置为集成模式，经典模式下iisnode的兼容性很差，大概率会导致权限类错误；
  2. 应用池标识：确保标识用户（比如LocalSystem、ApplicationPoolIdentity或你指定的自定义用户）拥有project2文件夹的完整权限——去文件夹属性的「安全」选项卡，给该用户添加读取、执行、列出文件夹内容权限，必要时还要加上写入权限（用于iisnode生成日志）。

• 不要忽略IIS_IUSRS组的权限
  很多人会只给应用池用户开权限，但忘记给IIS内置的IIS_IUSRS组配置权限。这个组是IIS进程的默认用户组，必须确保它也拥有project2文件夹的读取和执行权限，否则同样会返回403。

• 修正Express的端口监听逻辑
  如果你的Express代码里硬编码了监听端口（比如app.listen(3000)），IIS会无法接管端口分配，导致Node进程启动失败，间接触发403。一定要改成动态读取环境变量的端口：

  app.listen(process.env.PORT || 3000, () => {
    console.log('Server running on port:', process.env.PORT || 3000);
  });
  

• 查看iisnode日志定位具体问题
  这是最直接的排查方法！iisnode会在project2文件夹下自动生成iisnode目录，里面的日志文件会记录详细的错误原因——比如找不到入口文件、Node版本不兼容、权限不足等，比盲目排查高效太多。

如果以上方法都试过还是不行，可以再检查IIS的「请求筛选」规则是否挡住了请求，或者服务器防火墙是否限制了端口，但前面几个点已经能解决90%以上的403问题。

内容的提问来源于stack exchange，提问作者userlkjsflkdsvm