在IIS中为子目录设置二级域名，并配置独立后台，最核心的答案是：通过DNS解析将二级域名指向服务器IP，然后在IIS中对目标网站使用“URL重写”模块将二级域名的请求转发至子目录，同时把子目录程序的后台入口文件单独绑定，确保后台访问路径唯一且独立。参考2
为什么直接绑定子目录会失败？核心原理先说透
很多朋友在IIS上折腾二级域名，第一步就卡住了，你把二级域名绑定到子目录的物理路径，结果发现主站打开404，或者子目录的页面样式全乱了。根源在于IIS的“应用程序”概念。
IIS里每个网站是一个独立的应用程序池，子目录默认继承父网站的配置，如果你把二级域名直接绑定到子目录，IIS会认为这是一个新的网站请求，但它依然在父站点的根目录下查找资源，比如你绑定了admin.yourdomain.com到wwwroot/admin文件夹，但IIS处理请求时，还是去wwwroot下找admin这个路径,这会导致路径重复或者资源加载失败。
行业共识认为，最稳妥的IIS二级域名设置方法，不是用“添加网站”或者“虚拟目录”功能，而是利用URL重写模块做内部转发，这样二级域名看起来是独立站点，实际上请求被IIS偷偷转给了子目录，父站点的配置、资源、Session都能正常继承。
别踩两个常见的坑
- 坑一：重复创建网站，有人会为二级域名新建一个网站，然后把物理路径指向子目录，这样IIS会开两个互相独立的应用程序池，Session不共享,跨域登录基本废掉。
- 坑二：虚拟目录绑定域名，IIS的虚拟目录功能不支持直接绑定域名，绑了也是白绑,请求根本到不了子目录。
动手实操：二级域名绑定子目录全流程
我假设你已经在IIS上跑着一个主站，比如www.yourdomain.com，现在想给/admin子目录配一个admin.yourdomain.com,同时让后台登录入口走这个二级域名。
第一步：DNS解析只做“A记录”，别做“显性转发”
先去你的域名DNS管理面板，给二级域名添加一条A记录，解析到服务器IP。不要用“显性URL转发”，那个会让浏览器地址栏跳转，相当于把用户重定向到主站子目录,完全没实现子目录独立域名。
举例：
- 主机记录：
admin - 记录类型：A
- 记录值：你的服务器公网IP
第二步：子目录程序“认亲”，修改入口文件
这是很多人忽略的一步，你得让子目录里的程序知道，它现在被“嫁”给了二级域名，否则程序内部的链接生成、表单提交地址,还是用主站域名加子目录路径。
以常见的PHP后台程序为例：
- 打开子目录的入口文件，比如
index.php或admin.php。 - 在文件顶部加入以下代码,动态获取当前域名并设置基础路径：
$_SERVER['REQUEST_URI'] = str_replace('/admin', '', $_SERVER['REQUEST_URI']);
$_SERVER['SCRIPT_NAME'] = str_replace('/admin', '', $_SERVER['SCRIPT_NAME']);
这个操作的核心是去掉路径中的“/admin”前缀，因为URL重写会把二级域名的请求交给子目录，但程序接收到的$_SERVER['REQUEST_URI']里可能包含多余的路径,导致路由解析错误。参考2
如果你的程序是WordPress，可以在wp-config.php里加两行：
define('WP_HOME', 'http://admin.yourdomain.com');
define('WP_SITEURL', 'http://admin.yourdomain.com');
统计显示，相当一部分站长在设置iis网站子目录独立域名时，卡在这一步，程序不认新域名，后台登录后跳转异常,或者接口返回404。
第三步：IIS安装URL重写模块，配置转发规则
IIS默认不带URL重写，需要先安装，微软官方有免费下载，搜索“IIS URL Rewrite Module 2.1”就能找到。
安装后，在主站点的根目录下，双击“URL重写”图标，添加一条正向代理规则：
- 规则名称：
AdminSubdomain - 匹配URL：模式为
^(.)$ - 条件：
{HTTP_HOST}匹配^admin.yourdomain.com$ - 操作类型：重写（不是重定向）
- 重写URL：
admin/{R:1}
这里的关键是操作类型选“重写”，这样浏览器地址栏依然显示admin.yourdomain.com，但IIS内部把请求转发给了/admin目录，用户访问admin.yourdomain.com/login，实际请求的是www.yourdomain.com/admin/login,但路径完全隐藏。
如果要设置多个子目录，比如blog、shop，每个子目录对应不同二级域名，只需要复制这条规则，修改条件里的域名和重写路径即可，这是最简洁的
iis二级域名设置方法,不需要为每个子目录新建网站。
后台访问的“独立”伪装
你要求的是“设置网站后台”，不仅要让二级域名能访问子目录，还得让后台管理入口看起来像独立站点。现实中，很多二级域名配置完后，后台登录页能打开，但登录后跳转回主站，或者后台链接还是带子目录路径,这其实没实现真正的独立。
文档根目录的“障眼法”
配置完URL重写后，二级域名访问的物理根目录，其实是主站根目录，不是子目录，这意味着子目录里的程序，通过访问的静态资源，比如CSS、JS、图片,路径可能会出错。
解决方案分为两步：参考2
- 修改子目录程序的配置，让所有资源路径使用绝对路径，或者加上
/admin前缀。 - 在IIS的URL重写规则里，加一条专门处理静态文件，让图片、CSS、JS的请求直接指向子目录的物理路径,减轻主站压力。
伪静态规则要跟着走
很多后台程序自带伪静态规则，比如.htaccess或web.config，如果你把二级域名指向子目录，而子目录的伪静态规则只针对主站域名,访问二级域名时会失效。
正确的做法是：把子目录的伪静态规则，写到主站根目录的web.config文件中，并且用<conditions>限制只对二级域名生效，这样二级域名访问时，规则自动匹配,主站访问时不受影响。
安全与维护：避免权限冲突
二级域名和主站共享同一个应用程序池,在安全上需要特别注意。
设置独立应用程序池（推荐但非必需）
虽然共享池可以保持Session同步，但如果你给三级域名设独立后台，建议为子目录新建一个应用程序池，操作路径：IIS管理器 -> 应用程序池 -> 添加应用程序池，然后右键子目录 -> 管理应用程序 -> 高级设置,更改应用程序池。
这样做的好处是：一个站点的程序崩溃或者内存泄漏，不会影响另一个，代价是Session不共享，如果主站和后台需要保持登录状态，就要用其他方案,比如Redis共享Session。
子目录权限只给只读
主站根目录通常有写入权限，但子目录作为后台，应该只给读取和执行权限，禁止写入,防止攻击者通过主站漏洞上传恶意文件到后台目录。
具体操作
：
- 右键子目录文件夹 -> 属性 -> 安全。
- 编辑
IIS_IUSRS用户权限，只保留“读取和执行”、“列出文件夹内容”、“读取”。 - 去掉“写入”和“修改”权限。
这样即使主站被上传了webshell，也无法篡改后台文件,二级域名设置网站后台的安全性会提升一个档次。
日志隔离，便于排查
二级域名的请求日志会混在主站日志里，不好分析，建议在IIS日志记录里,把二级域名的请求单独记录到一个文件夹。
在IIS的“日志”功能中，勾选“按站点启用日志”，然后每个站点可以单独指定日志目录，如果你用了URL重写，所有请求依然落在主站，所以日志隔离需要借助日志记录规则,或者用第三方工具如LogParser筛选。
常见问题Q&A
Q1: iis二级域名设置方法中，URL重写和HTTP重定向有什么区别？
HTTP重定向是告诉浏览器“你去别的地方”，浏览器地址栏会改变，用户能看到跳转后的主站子目录路径，比如admin.yourdomain.com变成www.yourdomain.com/admin，URL重写是服务器内部转发，浏览器地址栏不变，用户始终看到二级域名，实现了真正的子目录独立域名效果。绝大多数场景应该用重写。
Q2: 设置后主站和子站后台冲突，比如登录状态互踢，怎么办？
这个问题通常是因为Session ID冲突，主站和子站共享同一个Session池，如果两个站点的程序使用了相同的Session变量名，就会互相覆盖，解决方案：为子目录程序修改Session前缀，在PHP中可以设置session_name('ADMINSESSID')来区分，或者干脆为子目录新建应用程序池，但这样会丢失共享登录状态,需要额外配置OAuth或单点登录方案。
Q3: 如何用二级域名设置网站后台的独立入口，同时保留主站的后台功能？
这个问题很实际，你希望主站后台和子站后台都能用，但分别走不同域名。操作要分两步：确保主站后台本身不是子目录，比如主站后台是/admin，那就把/admin这个路径单独绑定到二级域名，主站后台路径改为/backup-admin，在URL重写规则里，对二级域名的请求做转发，同时限制主站域名下/admin路径返回403或直接重定向到二级域名，这样用户只能通过二级域名访问后台，主站的管理入口被隐藏,安全性和独立性都得到提升。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/532717.html
