IIS 中的模拟是否不安全？ [关闭]答案

【问题标题】：Is Impersonation in IIS unsafe? [closed]IIS 中的模拟是否不安全？ [关闭]
【发布时间】：2013-01-08 11:19:33
【问题描述】：

我是新手。对于 IIS 中的模拟，您怎么看？我认为这是不安全的。 IIS 如何产生一个 Win32 线程来处理具有用户身份的用户请求？这是否意味着该线程可以在未经用户许可的情况下使用用户身份做任何事情？例如，该线程可以连接到其他服务器，并以用户的身份进行操作。

【问题讨论】：

【解决方案1】：

使用模拟时，您通常会创建一个只有足够权限来执行所需操作的用户，例如读取 c:\inetpub\wwwroot 中文件夹的内容。类似于当您只需要读取一些值时，您不会创建可以删除表的数据库用户。

【讨论】：

也许我没有说清楚。对于本地资源，我认为这是可以接受的，因为这些资源由 IIS 和发出请求的用户共同管理。但我认为这不应该应用于远程资源。远程资源由其他服务器管理，奇怪的是IIS可以在未经用户许可的情况下使用用户身份访问这些资源。对于第二种情况，我问了另一个question。