ASP 報錯「不允許 Path 字符 '..'」：IIS 父路徑啟用全流程解析

現象還原

客戶網站後台無法訪問，本地調試正常。瀏覽器拋出：

Server.MapPath() 錯誤 'ASP 0175 : 80004005'
不允許的 Path 字符
/0709/dqyllhsub/news/OpenDatabase.asp，行 4
在 MapPath 的 Path 參數中不允許字符 '..'

代碼中使用 Response.Redirect 相對路徑（含 ../），因 IIS 預設禁用父路徑導致解析失敗。

根因定位

IIS 6.0+ 預設 「啟用父路徑」= False，出於安全考慮防止目錄遍歷攻擊。但大量傳統 ASP 應用依賴 ../include/conn.asp 相對引用，直接導致 500 內部錯誤。

兩種解決路徑（擇一）

安全加固建議

• 若必須開啟父路徑，請同時配置 web.config requestFiltering 封鎖 ..、: 等敏感字符。
• 啟用 ASP 錯誤詳細信息僅限本地顯示，生產環境返回友好錯誤頁。
• 定期掃描代碼庫中的相對路徑引用，納入代碼審查清單。