Windows建站总踩坑？5步搞定权限配置

　　去年暑假给某教育机构搭Windows站，权限配置搞了三天三夜——别笑，真不是技术菜，是Windows那套NTFS权限+IIS账户+SQL Server登录名，活生生把权限管理玩成俄罗斯套娃。凌晨三点对着服务器日志揉眼睛，突然发现IIS应用池账户居然没给C盘临时目录的写入权限，这特么谁想得到？

　　第一步：先砍掉所有继承权限。我原以为“从父对象继承权限”是Windows的贴心设计，结果发现这功能简直是权限配置的定时炸弹——父文件夹改了权限，子文件夹跟着变，改着改着就乱了套。直接右键属性→安全→高级→取消继承，把所有权限清零再重新分配，虽然暴力但管用。那天茶凉了三回，全是因为反复确认“这个文件夹到底需不需要写入权限”。

　　第二步：IIS账户和NTFS权限必须对齐。有个同事非说“IIS_IUSRS账户有读取权限就够了”，结果网站首页能打开，CSS和JS全403——因为静态文件需要IUSR账户的读取权限，而动态页面需要IIS_IUSRS的执行权限。最坑的是，IIS默认用“应用程序池标识”账户跑，这账户在NTFS里根本不显示，得手动在“安全”选项卡里添加“IIS AppPool\你的应用池名”。那天竞对站又改了标题，我盯着他们的SEO排名，手里的鼠标差点把键盘敲碎。

　　第三步：SQL Server登录名别用sa。客户非要“用最高权限账户方便管理”，结果网站被注入攻击后，攻击者直接用sa账户删库跑路——这锅我背了半个月。后来强制要求所有数据库连接用“最小权限原则”，只给SELECT/INSERT/UPDATE/DELETE，连DROP TABLE都不给。有次测试时发现存储过程执行失败，查了半天才发现是账户没给“EXECUTE”权限，这细节藏得比俄罗斯套娃还深。

　　第四步：文件夹权限要“刚好够用”。有个运营同事把整个网站根目录给了“完全控制”权限，结果网站被上传了挖矿脚本。后来改成：根目录只给“读取和执行”，上传目录给“修改”，临时目录给“写入”，数据库文件目录直接“拒绝所有”。那天站长平台里存了半年的截图突然全没了，查日志发现是权限配置时手滑点了“替换所有子对象权限”，气得我差点把显示器砸了。

　　第五步：用Process Monitor监控权限问题。Windows自带的权限诊断工具弱得离谱，真正管用的是Sysinternals的Process Monitor。有次网站报“访问被拒绝”，用事件查看器查半天没头绪，开Process Monitor一过滤，发现是IIS账户在访问“C:\Windows\Temp”时被拒绝——原来临时目录被安全软件锁了。这工具能实时显示所有文件/注册表访问，比猜谜强一百倍。那天同事打来电话说“网站又挂了”，我一边接电话一边看Process Monitor的日志，直接报出“是D盘权限没配好”，他当场愣住：“你怎么知道的？”

　　说到底，Windows建站权限配置的坑，九成是“权限过度分配”和“权限不匹配”闹的。我见过最离谱的案例，是某个企业站把“C:\”根目录给了“Everyone”完全控制，理由是“这样所有程序都能运行”——这操作比裸奔还危险。现在每次接Windows建站项目，我都先问客户：“你确定要用Windows？Linux的权限管理简单得多。”他们总说“我们内部系统是Windows的，方便对接”，我只能默默叹气——方便是方便，坑也是真坑。

　　对了，最近发现个冷知识：Windows Server 2016之后的版本，IIS的“匿名身份验证”默认用“IUSR”账户，而“应用程序池标识”是另一个账户，这两个账户的权限得分开配。我原以为微软会统一账户，结果他们说“这是为了安全”——安全是安全了，配置难度直接翻倍。这逻辑，我服。

文章配图，仅供参考

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!