ASP.NET Core 应用无法访问 C:\Windows\Temp\ASPNETCORE_* 临时目录

Question

ASP.NET Core 应用启动时频繁报错“Access to the path 'C:\Windows\Temp\ASPNETCORE_*' is denied”，通常源于IIS/IIS Express或Windows服务运行账户（如 `IIS_IUSRS`、`ApplicationPoolIdentity` 或 `NETWORK SERVICE`）缺乏对系统临时目录的写入权限。该目录用于存放编译后的Razor视图、Blazor WebAssembly中间文件及运行时生成的DLL，权限缺失将导致视图编译失败、静态资源加载异常或应用冷启动超时。常见诱因包括：系统管理员手动收紧`C:\Windows\Temp` ACL、组策略禁用继承权限、杀毒软件锁定临时文件，或容器化部署中挂载了只读宿主机目录。解决方案需精准授权——而非简单赋予Everyone完全控制权——应为应用池标识用户添加`Modify`权限，并确保ACL继承启用；同时建议通过`InProcess`或环境变量`ASPNETCORE_TEMP`重定向临时目录至应用可控路径，兼顾安全与可维护性。

Answer 1

```html

一、现象层：错误表征与典型日志特征

ASP.NET Core 应用在 IIS/IIS Express 或 Windows 服务宿主下启动时，频繁抛出 UnauthorizedAccessException，核心异常消息为：
Access to the path 'C:\Windows\Temp\ASPNETCORE_XXXXX' is denied。该错误通常伴随 Microsoft.AspNetCore.Mvc.Razor.RuntimeCompilation 失败、BlazorWebAssemblyHostBuilder 初始化中断，或 dotnet publish 后首次请求超时（>30s）。IIS 日志中可见 HTTP 500.19 - Internal Server Error，且 Event Viewer → Application 中存在 .NET Runtime 事件 ID 1026，堆栈指向 RazorViewCompiler.CompileAsync 或 WebAssemblyBuildService.CreateIntermediateAssets。

二、定位层：权限溯源与运行时身份映射

• IIS 应用池标识解析：通过 appcmd list apppool /config 查看 <identityType>；若为 ApplicationPoolIdentity，其对应 SID 为 S-1-5-82-xxxxxxxx，实际表现为 IIS APPPOOL\{AppPoolName}；
• 临时路径归属验证：执行 icacls "C:\Windows\Temp" /verify /t 检查 ACL 继承是否被禁用；使用 whoami /all 在应用池工作进程中确认令牌组成员（含 IIS_IUSRS, NT AUTHORITY\NETWORK SERVICE）；
• 进程级文件监控：借助 ProcMon.exe 过滤 Path contains "ASPNETCORE_" AND Result == "ACCESS DENIED"，精准捕获被拒绝的句柄操作（如 CreateFile、SetDispositionInformation）。

三、根因层：四类高发诱因深度剖析

诱因类型	技术机制	检测命令/工具	影响范围
ACL 手动收紧	管理员执行 icacls C:\Windows\Temp /inheritance:r 清除继承，再未显式授予 IIS APPPOOL\*	icacls C:\Windows\Temp | findstr "APPPOOL"	所有依赖 System.IO.Path.GetTempPath() 的 ASP.NET Core 功能
组策略覆盖	GPO 中 Computer Configuration → Windows Settings → Security Settings → File System 强制重置 C:\Windows\Temp 权限	gpresult /h gpreport.html 检索策略应用记录	跨服务器批量部署场景下系统性失效

四、解决层：双轨并进的安全加固方案

✅ 方案A：最小权限 ACL 修复（推荐用于传统 IIS）
以管理员身份运行 PowerShell：

# 获取应用池名（示例：MyAppPool）
$poolName = "MyAppPool"
$identity = "IIS APPPOOL\$poolName"

# 确保继承启用并添加 Modify 权限
icacls "C:\Windows\Temp" /grant "$identity:(OI)(CI)M" /t /c
icacls "C:\Windows\Temp" /reset /t /c

✅ 方案B：临时目录重定向（推荐用于容器化/高安全要求环境）
在 web.config（IIS）或 launchSettings.json（开发）中配置：

{
  "profiles": {
    "IIS Express": {
      "environmentVariables": {
        "ASPNETCORE_TEMP": "D:\\AppData\\Temp"
      }
    }
  }
}

同时确保目标路径 D:\AppData\Temp 已由 IIS APPPOOL\MyAppPool 拥有 Modify 权限，并启用继承。

五、架构层：长效治理与设计规避

graph LR
  A[启动失败] --> B{诊断分支}
  B -->|ACL异常| C[权限审计工具链]
  B -->|容器只读挂载| D[多阶段Dockerfile优化]
  C --> C1[PowerShell ACL 分析脚本]
  C --> C2[ProcMon 自动过滤规则集]
  D --> D1[将 /tmp 映射为 volume]
  D --> D2[ENTRYPOINT 中 chown -R app:app /app/temp]
  A --> E[根本规避]
  E --> E1[启用 Razor Runtime Compilation 预编译]
  E --> E2[Blazor Wasm 使用 --configuration Release 发布]

```