Note：此處不是權限設置問題，此處不是權限設置問題，此處不是權限設置問題！只是出於數據或者網絡安全，禁止掃描工具直接掃描到某些包含敏感信息的文件，尤其比如日志、配置等
默認ASP.NET已經考慮到了一些安全問題，比如.config后綴的配置文件，比如.cs的源代碼文件，比如.log的日志文件，這些默認都是 全局設置，但還有些NET沒幫我們設置，比如.xml后綴，比如.txt后綴，這些文件里面往往也可能包含着關鍵信息，這時候我們可以通過IIS進行設置
打開IIS，選中你的項目，然后在右側的功能視圖界面找到 請求篩選 部分，如下圖
雙擊它，可以打開如下界面
可以看到有很多進行訪問設置的配置，而我們一般常用的就兩樣，一個就是 文件擴展名 設置，還有一個就是隱藏段 設置，以xml為例，如果要禁止可以被瀏覽器訪問，那么可以通過在 文件擴展名 設置界面右鍵添加被拒絕的文件擴展名，如下圖
當然通過設置文件擴展名的方式會導致整個站點下的所有對應類型文件都被禁止訪問，如果你只是希望某些文件被禁止訪問，那么你可以通過 隱藏段 設置，該設置是設置某個目錄下的文件禁止被訪問，注意這里只能設置站點下的根目錄或者根文件，如下圖
當這些配置做完之后，你在瀏覽器里進行訪問時，就會得到40X提示，被設置過的文件已經被禁止訪問了
這時候我們反過來看下站點里面的web.config，可以看到里面被自動添加了一些節點，所以如果有需要，你也可以直接在項目里面輸入這些設置，無需通過IIS來進行配置，最終結果都是一樣的
本文轉自：http://blog.csdn.net/starfd/article/details/50129921