IIS用于检查请求和其它授予或拒绝访问时使用如下的逻辑（注意顺序）

1、传入请求

2、是否允许IP或域？

否：403状态码拒绝访问。客户端报够错误，并且不重新接受请求。

（此步和“站点属性”中“目录安全性”中的“IP地址和网域名限制”的设置有关）

3、是否允许用户？

否：401状态码拒绝访问，强迫客户端重新接受请求。

（此步和“站点属性”中“目录安全性”中的“匿名访问和验证控件”和“安全通讯”的设置有关）

4、IIS目录权限允许访问吗？

否：403状态码（同2）

（此步和“目录属性”中“目录安全性”中的“匿名访问和验证控件”和“安全通讯”的设置有关）

5、NTFS允许文件访问么？

否：401状态码（同3）

6、允许访问

——摘自《IIS4.0使用大全》P283

（好象用程序流程些更好，原文是个流程图，真是愚昧）