Great question—this is a common point of confusion when transitioning from classic ASP.NET to ASP.NET Core on IIS. Let’s break this down clearly:

什么时候需要禁用IIS模块？ #

You’ll need to disable a server-level IIS module for your ASP.NET Core app in these scenarios:

• When the module conflicts with ASP.NET Core’s request pipeline: Many traditional IIS modules (like Forms Authentication or Session State) were built for classic ASP.NET, which runs in-process with IIS. ASP.NET Core uses the ASP.NET Core Module (ANCM) to forward requests to its own Kestrel server, so these old modules might intercept or modify requests before they reach your Core app, breaking your custom logic (e.g., JWT authentication failing because Forms Auth intercepts the request first).
• When the module causes performance overhead: Some modules run unnecessary processing on every request that your Core app doesn’t need. For example, a legacy logging module that duplicates the logging you already handle in your Core app will add unneeded latency.
• When the module triggers errors or crashes: Older modules designed for IIS’s classic pipeline often don’t play nice with Core’s integrated pipeline setup. This can lead to 500 errors, hanging requests, or unexpected behavior that’s hard to debug.

为什么必须禁用这些模块（技术层面的原因） #

ASP.NET Core在IIS上的托管模型和传统ASP.NET有本质区别：

• ANCM是IIS和Kestrel之间的桥梁，大部分IIS模块会在ANCM把请求转发给Kestrel之前执行。如果某个模块以和Core应用逻辑冲突的方式修改请求（比如篡改请求头、强制重定向、提前验证身份），你的应用收到的请求就会是损坏或不符合预期的。
• Core自身已经实现了很多IIS模块负责的功能（身份验证、路由、会话状态）。同时运行IIS模块和Core的实现会造成冗余工作和冲突，比如同时启用IIS的Windows身份验证和Core的自定义认证中间件，可能会导致重复验证或认证流程失败。

是否建议禁用所有与ASP.NET Core不兼容的模块？ #

绝对不要盲目禁用所有模块——只禁用你确认会引发问题的模块。很多IIS模块和ASP.NET Core完全兼容：

• 静态文件模块：如果让IIS处理静态文件而非Core应用本身，这既安全又高效。
• URL重写模块：只要重写规则和Core的路由不冲突，它在处理重定向或规范URL时非常有用。
• 请求筛选模块：帮助拦截恶意请求，和Core自身的安全措施形成互补。

正确的做法是：

1. 先使用默认的IIS模块配置部署应用。
2. 如果遇到问题（认证失败、路由错误、性能卡顿），用IIS的失败请求跟踪或应用日志定位到引发问题的模块。
3. 仅在应用的web.config中禁用该特定模块。

示例：在web.config中禁用冲突模块 #

<system.webServer>
  <modules runAllManagedModulesForAllRequests="false">
    <!-- 如果使用Core自身的认证系统，移除Forms Authentication模块 -->
    <remove name="FormsAuthentication" />
    <!-- 如果使用Core的会话实现，移除Session State模块 -->
    <remove name="Session" />
  </modules>
</system.webServer>

内容的提问来源于stack exchange，提问作者M Herbener