如何在iis7中停止从web访问网站目录之外的文件

Question

我有一个 Windows Server 2008。我正在使用 IIS7 添加一些网站。但所有网络都可以访问外部文件。例如：

@{ DirectoryInfo di=new DirectoryInfo("c:\\");}
@foreach (var item in di.GetFiles())
{
    <div>@item.FullName</div>
}

此代码成功枚举文件。我需要配置无法访问外部网站目录。只使用内部文件和文件夹

如何做到这一点？

Answer 1

您显示的代码并不意味着外部人员可以访问您服务器上的文件，它仅显示在您服务器上运行的程序可以访问服务器上有意义的文件。

如果要阻止程序访问这些文件，请为运行要阻止访问这些文件的程序的用户以外的用户添加安全权限。

如果您想保护目录，请查看使用 .htaccess （非常基本的安全性）或考虑 Alex 的解决方案

Answer 2

您可以创建一个具有有限权限的新用户，并设置为在此用户下运行应用程序池。

更改应用程序池的标识（即指定应用程序池运行的凭据）

1. 打开 IIS
2. 在连接树中选择应用程序池
3. 选择应用程序池
4. 右键单击​​并选择高级设置。
5. 查找流程模型/标识。默认值可能
6. 为 ApplicationPoolIdentity 单击该值（例如 ApplicationPoolIdentity）
7. 单击右侧显示的省略号
8. 选择内置帐户或单击自定义帐户
9. 如果选择了自定义帐户，请单击设置并指定 Windows 帐户和密码
10. 单击确定关闭“设置凭据”对话框
11. 单击“确定”关闭“应用程序池标识”对话框
12. 单击“确定”关闭“高级设置”对话框。
13. 回收应用程序池。

您还可以在 web.config 文件中设置身份：

<system.web>
  <identity impersonate="true"
            userName="UserName"
            password="Password"/>
</system.web>