Windows站点搭建总踩坑？5步权限配置法一次到位

文章配图，仅供参考

　　销售把我推进去的时候说：“客户要个淘宝那样的。”我笑了一下，没接话。真以为淘宝是拿IIS+ASP.NET Core硬扛住双十一流量？可我原以为顶多改改web.config配个URL重写，结果进门第一句就是“先做出来看看”。

　　结果呢？结果是客户自己在服务器上装了个360安全卫士，把IIS进程当成病毒隔离了三次——第二次他还截图发群里问：“为什么网站打不开？”底下跟了七个表情包，没一个带问号。我回一条微信，拆三步：先截图查进程ID，再远程连进去开服务管理器，最后告诉他别动那个绿色盾牌图标。他回：“哦，那这个‘防护等级’能调低点吗？”我没回。这玩意儿连Windows自带防火墙都敢关，还调等级？

　　五步权限配置法——你听这名儿就虚。真有法？有。但只在一种情况下灵：甲方签完合同、付完首款、且没在交付前自己手贱进过服务器控制台。这次客户第3天就远程桌面连上去，改了applicationPoolIdentity的本地组成员身份，加了个“Administrators”，还顺手禁用了UAC。我第二天去看日志，eventvwr里全是4672（特权提权）、4688（进程创建失败）、4625（登录失败）混着报——三列并排，比Excel还整齐。他问我：“是不是服务器太老？”我说：“您刚把应用池账号设成Administrator，又让它以‘无密码’模式运行。”他沉默两秒，说：“……那改成密码不就行了？”

　　我盯着他桌上那盘没人动的山竹，开口说：“您记得上次说‘改个颜色还要加钱’，我点头了。可这次不是加钱的事，是您亲手把C:\\Windows\\System32\\inetsrv\\config\\applicationHost.config删了备份，然后用记事本手改路径——改完存成ANSI编码。”他眨眨眼，掏出手机翻聊天记录：“啊？我没删啊。”我打开TeamViewer历史记录点开，日期标得清清楚楚。他低头转笔，咔、咔、咔。

　　上个月另一个客户更绝：要求“包排名”，我说百度不是我们运维范围；他说“你们连DNS都能管，SEO有什么难？”我懒得争，只问他上次上线后第七天有没有进百度统计后台看跳出率。他愣住：“……统计后台要另加钱？”我起身拿了件外套，说：“下回等您建完搜索词库、埋好事件追踪、买够反链预算，我再带你们运维同事来配robots.txt。”电梯里遇见他们行政，她冲我摆摆手，指甲油掉了一块在小拇指上。

　　五步法真站得住？站得住。优胜劣汰——熬得过前三次自己乱搞还不出事的客户，剩下就是愿意信文档、肯看错误日志、知道401和403根本不是同一个意思的活人。其他？全筛出去。就像那台被装了三套杀软的测试机，蓝屏代码0x0000007B弹出七次之后，我拔了网线，把硬盘格式化了两遍。客户电话打进来问进度，我说：“您刚把iis_iusrs组权限从‘读取+执行’改成了‘拒绝全部’，改回来就能跑。”他停顿八秒，突然提高声调：“可你们销售说只要部署完就行！”

　　对，销售是这么说的。“做个淘宝那样的”，三千块；“先做出来看看”，没说看的是编译产物还是裸奔页面；“上线了不付尾款”，其实尾款没结，这事我不提——提了显得计较；“要源码”，给了，附带一行注释：“此版含207处硬编码IP与3条明文数据库连接串，已脱敏处理。”他回：“怎么这么多#ERROR？”我截图发过去，他那边静默二十分钟，发来一句：“源码能不能再‘整理’下？”我点了根烟，烟灰掉在工位键盘F5键上。

　　还有个细节：他要求加个“用户反馈入口”，我按规范做了POST接口，配了CORS、加了CSRF Token、日志留痕全打点。结果他让实习生在前端页面直接用fetch往/api/feedback发JSON，header里还写着"Content-Type: text/plain"。我查Nginx日志，发现所有请求都被waf拦截——因为body里有个中文逗号，WAF规则把它当SQL注入特征了。实习生在群里问：“为啥提交老是‘网络错误’？”我截了error.log最上面一行甩过去：“415 Unsupported Media Type”。他秒回：“啥意思？”我回：“你发了个txt，服务器以为你要上传病毒。”

　　该不该接这类活？不好说。上上个项目是给律所搭内网知识库，客户总监自己用PowerShell写了段重启服务脚本，每隔六小时自动运行一遍，理由是“确保稳定”。我看见那段代码时手抖——它用Stop-Service硬杀w3svc，延迟三秒后Start-Service，但没检查应用池是否真正启停完毕。结果用户中午提交文档，下午三点才在网页上看见“保存成功”。他坚持认为是“浏览器缓存问题”，直到我把taskmgr截图和perfmon内存曲线图一并发过去。

　　Windows站点搭建总踩坑？废话。客户自己开着BitLocker锁住系统盘，却嫌ASP.NET编译慢；一边用Edge兼容模式打开站点，一边投诉“按钮样式错位”；连web.config里system.webServer节点都敢用notepad手动删空格，还问“空格是不是影响性能”。五步法？不过是把“IUSR、IIS_IUSRS、应用程序池标识、NT AUTHORITY\\SYSTEM、还有他妈你自己手加的Everyone”这五个名字，在ACL面板里点五次“编辑—勾选—确定”而已。能一次到位？能。前提是你别让甲方离服务器超三米。

　　下回合同里这条必须写死：甲方不得以任何方式修改操作系统安全策略、不得安装第三方安全软件、不得使用非IT部门提供的远程工具。加粗，下划线，单独一页附件。否则——

　　否则我就继续坐这儿，听投影仪嗡嗡响，看山竹在盘里干瘪，等他转完这支笔。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!