Windows服务器站点搭建：11年测试经验的权限配置终极方案

　　接口超时告警那一刻，我正蹲在茶水间扒拉微波炉里那盒冷透的咖喱饭——刘工在工位上打电话谈房租，声音卡在“押一付三”那儿反复断连；咖啡机坏了，红色故障灯亮得像急诊室门口；我伸手去按出水键，它咔哒一声，跟十年前我们测那个祖传CMS时服务器机箱嗡嗡响的节奏一模一样。

　　去年8月，运维把IIS站点丢给我看权限配置。我说行啊，顺手点开那个叫“WebAppSvc”的应用池——结果连进程都起不来。不是报错，是静音。日志刷得太快看不清，就剩满屏System.UnauthorizedAccessException: Access is denied，一行叠一行，跟暴雨砸玻璃似的。张磊蹲我后头看了三分钟，说“你给它加个本地管理员组试试”，我点了。站点起来了。监控大盘上那条绿色的线一直在抖，但抖得没之前那么凶了。

　　我原以为是服务账户没配好启动权限，结果翻到applicationHost.config里发现identityType="SpecificUser"底下写的还是“Administrator”。不是密码过期，不是GPO策略锁死，就是单纯……写错了。错在十年前一个实习生填的部署文档附件里，PDF页眉写着“2013-06-V2_final_edit_by_lily”，lily早跳槽去搞AI绘画了。没人动过它，也没人敢删。优胜劣汰？不是代码淘汰人，是人被文件名淘汰。

　　后来李敏来查缓存击穿问题，顺手翻我本地hosts改的那几行，指着127.0.0.1 test-api.internal写：“这域名怎么没走DNS？”我愣了两秒——哦对，我们测试环境所有internal域名都靠hosts硬怼，线上才走AD集成。她笑了一下，把笔记本转过来，IE窗口开着F12，Network标签页里status全是401，但Response里干干净净，连个WWW-Authenticate头都不带。我凑近看，她鼠标停在那个Authorization字段上，悬停一秒，自动展开Base64解码——全是空格。空格加密？不是，是开发同学复制粘贴token的时候，把行尾换行符一起拷进去了。

　　工位隔断上贴的便签卷了边，上面记着“iisreset /noforce /timeout:60”，笔迹是我自己的，但日期糊了，像被水泡过。外卖筷子掉在地上我没捡，脚尖推了推，滚到张磊拖鞋底下。他说“你上次用这个命令是不是把灰度节点全崩了”，我没接。我不记得是不是那次。我只记得回滚之后，生产库那张user_profile表里，address字段突然多了两百多个“null, null, null, null”，后面还跟了个逗号。没人认领。不是程序写的，是某次导数脚本手动执行漏了--skip-empty，也不是数据迁移工具bug，就是执行前谁把Excel里一列全删了，只剩逗号。脏数据从来不需要理由，它只是存在。

　　说到权限配置终极方案——根本不存在终极方案。去年8月那个下午，我把三个账户逐个试过去：IIS_IUSRS、IUSR、ApplicationPoolIdentity。前两个报路径拒绝，最后一个跑通了，但静态资源403。查了半天才发现是NTFS继承被父目录手工关了，子目录没重置。最后加的是“IIS AppPool\\DefaultAppPool”，带反斜杠的那种。大小写必须全对，多一个空格都不行。我截图发群里，王总监回了个“????”，五分钟后自己又在另一个环境配错了，让我再截一次。他用的远程桌面分辨率太低，缩放125%，那个反斜杠看成短横了。

　　其实真不用那么细。优胜劣汰的意思是：能活下来的配置，不是因为最优，是因为还没被触发失效条件。就像那个永远不重启的应用池——它只要不死，监控就不告警；只要不调upload接口，临时目录的777权限就不会爆出漏洞；只要没人动web.config里的那块，10MB上传限制就永远够用。活着就是正确性验证。不是我们配得好，是系统替我们扛住了三次上线、七次安全扫描、十一轮渗透测试。扛不住的，早就没人记得名字了。

　　张磊现在改租合同时还在念叨押金，“反正我不信中介说的‘系统自动续期’”。我也信不过自动。所以每次搭新站，我都手动建个专用用户，密码写纸上，贴机箱侧面，等哪天被空调风吹跑了，或者被新来的实习生当废纸撕了——那时候就知道该换权限模型了。别等告警，等纸不见。

文章配图，仅供参考

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!