无代码站长7年实战：Win服务器权限配置一步到位

　　上个季度，总编把选题单拍在玻璃隔断上，说“这个不行”，笔没动，就搁那儿——蓝壳中性笔，帽儿歪着，油墨干了半截。我盯着那支笔，心想这破笔比我还守规矩：它不写，但至少不瞎写。

文章配图，仅供参考

　　隔壁桌小陈的咖啡洒了，褐色的渍顺着键盘缝往下渗，他没擦，就那么看着，像在观察一个失败的部署日志。我顺手帮他按了Ctrl+S，他抬头：“谢了。”其实没保存，我压根没开任何文件。可他就信了。人信惯了无代码的“自动保存”，连虚按都当真。

　　这不是玄学，是优胜劣汰淘汰下来的路径。十年前你得记住icacls的八种参数组合，现在你点三下鼠标，系统自动把继承取消、替换掉管理员权限、只留AppPool账户和SYSTEM；你不点“替换子容器”，它就硬不替——不是它傻，是你没给它活路。这个我敢打包票：Windows Server 2019起，IIS管理器里那个“编辑权限”的弹窗，底层已经替你把icacls /grant:r /t /inheritance:d 全写死了。你只是没看见而已。

　　但昨天又翻出旧项目看，一个2017年搭的后台，还在用LocalSystem跑AppPool。谁配的？不记得了。可能是小编小李，也可能是外包的张工，也可能那天我吃了两块红糖糕脑子发懵自己点的。这种事我说不准。反正它跑了五年没出问题——直到上个月突然拒接上传，查半天才发现C:\\inetpub\\temp\\ASP.NET Temporary Files权限崩了。而崩溃点，正好卡在LocalSystem无法写入NTFS加密卷上。你说讽刺不讽刺？最糙的配置，活得最长；最细的文档，删得最早。

　　外卖凉了没人吃，塑料盖子凝了一层水珠，像IIS日志里反复刷出来的500.19错误——报错代码全对，路径全错。我们改权限，改了十七分钟，后来发现是web.config里写了，触发了某个早已废弃的HTTP模块校验，而校验逻辑竟会偷偷检查父目录的读取权。这种链路，没人画图，没人注释，没人复盘。它就躺在那儿，等某天一个新来的运营要传Excel，一拖进去，整个站报500，而错误页面还开着自定义错误——显示“页面加载失败，请稍后重试”。（我删过三次这个提示，每次上线前都被回滚。）

　　选题被毙第三轮的时候，总编手机响了一声，是钉钉语音来电，他按掉，没看是谁。我就知道又要讲KPI了——上月无代码类稿件阅读均值跌了三点七，主编说“得扎硬核”。可什么是硬核？是教你用PowerShell一行命令递归赋权？还是告诉你AppPoolIdentity其实默认自带IIS_IUSRS组成员身份？后者是真的，前者是幻觉。但幻觉能撑数据，真实反而显得单薄。

　　小编小周来问：“那个‘一步到位’，要不要拆成四步教？”我说别。拆了就露馅。你教第一步：打开IIS管理器；第二步：点“应用程序池”；第三步：右键选“高级设置”……到这儿就得停。因为第四步如果写“将标识改成ApplicationPoolIdentity”，用户就会点开下拉菜单，发现里面还有LocalSystem、NetworkService、自定义账户——然后他必然想：我是不是该选个更“强”的？接着就全完了。人一旦开始想“更强”，就离chmod 777不远了。无代码的魅力不在可控，而在它不给你想“更强”的空隙。

　　上个月工资条发下来，绩效栏写着“平台工具适配度提升”。我不认识这个词，但我知道它背后是一次紧急上线——客户临时要对接公安网安接口，要求证书双向认证+IP白名单+请求头加密。我们三个人在机房守了十八分钟：一人盯防火墙日志，一人刷F5看响应头，一人手动导出pfx再导入IIS的服务器证书存储。到最后发现，根本不是证书问题，是Windows更新后禁用了TLS 1.0，而老公安接口只认1.0。解决方案：注册表HKLM\\SYSTEM\\CurrentControlSet\\Control\\SecurityProviders\\SCHANNEL\\Protocols\\TLS 1.0\\Client，把DisabledByDefault=DWORD:00000000。这事没法放进无代码教程里，因为它不是配置，是妥协。而所有真实生产环境，都是由一串妥协拼起来的。

　　所以说“一步到位”不是省步骤，是省犹豫。你别点开那个“自定义账户”，别手抖去点“高级”里的“启用继承”，别想着加个Backup Operators组——就停在那个干净的、灰底白字的“IIS AppPool\\DefaultAppPool”上。其余的，系统早配好了。只是你以前不信。

　　这篇可能活不过三小时。下回选题会，我打算闭嘴，带根新笔去。蓝壳的，帽儿要扣严实。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!