IIS 虛擬目錄 403 禁止存取完整排查與修復指南

HTTP 403「禁止存取」通常源於 NTFS 檔案系統權限 與 IIS 網站權限設定 不一致。本文提供系統性排查清單，涵蓋檔案權限、目錄瀏覽、驗證方式、FrontPage 擴充等常見致因。

標準排查清單（按優先序）

1. NTFS 權限：確保匿名帳號具備讀取權

• 網站根目錄（或虛擬目錄實體路徑） → 右鍵內容 → 安全性。
• 確認包含 IUSR_機器名、IWAM_機器名 或 IIS_IUSRS（IIS 7+）群組。
• 最小權限：讀取 & 執行、列出資料夾內容、讀取。
• 若網站置於 C:\Inetpub\wwwroot，可直接勾選「繼承父代權限」快速修復。

2. IIS 目錄/檔案層級權限設定

• IIS 管理員 → 網站/虛擬目錄 → 右鍵內容 → 目錄/檔案安全性 → 編輯。
• 確認「讀取」已勾選；若需執行腳本（ASP/PHP/ASP.NET），勾選「執行腳本」或「執行」（視 IIS 版本）。
• 子目錄可覆寫父層設定：若父站允許匿名，子目錄設為「整合 Windows 驗證」會彈出登入對話框。

3. 根目錄授予 Everyone 讀取權（快速測試用）

僅供臨時診斷，生產環境請勿保留：
網站根目錄 → 安全性 → 新增 Everyone → 授予「讀取」。若 403 消失，確定為權限問題，再精細化授權至 IUSR_*/IIS_IUSRS。

4. 目錄安全性：移除「整合 Windows 驗證」

• 網站內容 → 目錄安全性 → 匿名存取與驗證控制 → 編輯。
• 取消勾選 整合 Windows 驗證、摘要式驗證、基本驗證（除非刻意需要）。
• 僅保留 啟用匿名存取 + 指定有效匿名帳號。

5. 圖片/靜態資源的絕對 URL 陷阱

頁面使用 <img src="https://example.com/images/logo.gif"> 絕對路徑時，若該虛擬目錄設為非匿名驗證，每張圖片都會觸發一次 401/403 驗證提示。
對策： 改用相對路徑（/images/logo.gif），或確保靜態資源虛擬目錄同樣允許匿名存取。

6. 移除 FrontPage Server Extensions (FPSE)

• FPSE 歷史漏洞極多（WebDAV 弱點、_vti_pvc 目錄洩漏等），現代部署強烈建議完全移除。
• 控制台 → 新增/移除程式 → Windows 元件 → 取消勾選「FrontPage 2000 Server Extensions」。
• 手動刪除網站根目錄下 _vti_*、_private、_fpclass 等隱藏目錄。

進階診斷工具

快速驗證清單

1. 本機瀏覽 https://localhost/ → 正常？
2. 本機瀏覽 https://IP/ → 正常？（排除主機標頭/防火牆問題）
3. 遠端瀏覽 → 403？檢查防火牆、IP 限制、主機標頭綁定。
4. 啟用「目錄瀏覽」測試：若目錄瀏覽正常但檔案 403 → 檔案層級權限/MIME 對應問題。

核心原則： NTFS 權限是最終守門員，IIS 權限只是前置閘門。兩者必須一致，且遵循「最小權限、明確授予、定期稽核」。