应为Web服务账户授予最小必要NTFS权限：主目录用RX（含OI、CI、/T）实现读取与执行，上传子目录单独授M权限，避免全局写入，并用icacls验证清理冗余条目。

给 web 服务账户（如 iis_iusrs、nt authority\iusr 或自定义应用池标识）赋予静态目录权限，核心是用 icacls 精确授予最小必要权限，避免过度开放。操作前需确认账户名、路径和权限粒度。

确认 Web 服务账户身份

不同部署方式对应不同默认账户：

• IIS 默认匿名访问用 NT AUTHORITY\IUSR
• IIS 应用池默认身份是 ApplicationPoolIdentity，实际表现为 IIS AppPool\{池名}（如 IIS AppPool\DefaultAppPool）
• 若已配置为特定域用户或本地用户，直接使用其完整名称（如 DOMAIN\WebSvcUser 或 .\WebSvcUser）

授予读取与执行权限（静态文件必需）

静态网站只需读取（R）、列出内容（L）、执行/遍历（X）——即 RX 权限组合。命令示例：

icacls "C:\inetpub\wwwroot" /grant "IIS AppPool\DefaultAppPool":(OI)(CI)RX /T

• (OI)：对象继承 → 应用于所有文件
• (CI)：容器继承 → 应用于所有子文件夹
• RX：读取 + 执行（含遍历目录），足够服务 HTML、CSS、JS、图片等静态资源
• /T：递归应用到整个目录树

按需补充写入权限（仅限上传目录）

若存在用户上传功能（如头像、附件），**切勿对整个站点目录开放写入**，而应单独授权上传子目录：

icacls "C:\inetpub\wwwroot\uploads" /grant "IIS AppPool\DefaultAppPool":(OI)(CI)M /T

• M（Modify）包含读、写、删除、修改属性等，比单纯 W 更实用且安全可控
• 保持主目录仍为 RX，上传目录单独设 M，实现权限分离

验证并清理冗余权限

授予权限后建议检查是否生效，并移除不必要的显式条目：

• 查看当前 ACL：icacls "C:\inetpub\wwwroot"
• 确认目标账户出现在输出中，且权限含 (OI)(CI)(RX) 或类似标记
• 若发现旧账户残留或宽泛权限（如 Everyone:(F)），可用 /remove 清理：icacls "C:\inetpub\wwwroot" /remove "Everyone" /T