如何在Web.config中配置system.webServer实现IIS目录浏览？

在IIS中部署网站时，目录浏览功能决定了当用户访问一个没有默认文档的目录时，服务器是否返回该目录下的文件和子目录列表。通过Web.config文件中的system.webServer节点，我们可以精确控制这一行为，而不必打开IIS管理器逐项设置。

directoryBrowse节点基础配置

system.webServer是IIS 7及以上版本用于承载站点级配置的节，directoryBrowse作为其子节点，主要使用enabled属性来开关目录浏览。当enabled为true时，访问无默认页的目录将看到文件列表；为false则返回403错误。

<configuration>
  <system.webServer>
    <directoryBrowse enabled="true" />
  </system.webServer>
</configuration>

常见配置场景

仅关闭根目录浏览

如果只想针对某个子目录关闭浏览，可在该子目录放置独立Web.config：

<configuration>
  <system.webServer>
    <directoryBrowse enabled="false" />
  </system.webServer>
</configuration>

同时显示与隐藏指定信息

directoryBrowse还支持showFlags属性，控制列表展示的字段，例如时间、大小等：

<directoryBrowse enabled="true" showFlags="Date,Time,Size,Extension" />

配置不生效的原因

• IIS未安装目录浏览模块，需在服务器角色中勾选。
• 上层配置锁定，applicationHost.config中做了overrideMode禁止。
• 站点运行在经典管道模式，部分节不被识别。

通过代码读取配置

在ASP.NET中可以用如下方式判断当前是否开启目录浏览：

using System.Configuration;
using System.Web.Configuration;

Configuration config = WebConfigurationManager.OpenWebConfiguration("~");
SystemWebSectionGroup group = (SystemWebSectionGroup)config.GetSectionGroup("system.web");
// 注意directoryBrowse位于system.webServer，需用如下方式
var serverSection = config.GetSection("system.webServer/directoryBrowse");
// 实际类型需反射获取enabled值
bool enabled = (bool)serverSection.GetType()
    .GetProperty("Enabled")
    .GetValue(serverSection, null);

安全建议

生产环境应避免开启directoryBrowse，防止源码与上传文件被枚举。

使用directoryBrowse节点时，请确认enabled值符合环境需要。本地调试可临时开启，发布前务必关闭。

Web_configsystem_webServerdirectoryBrowse修改时间：2026-07-26 04:24:16