IIS用于检查请求和其它授予或拒绝访问时使用如下的逻辑（注意顺序）
1、传入请求
2、是否允许IP或域？
否：403状态码拒绝访问。客户端报够错误，并且不重新接受请求。
（此步和“站点属性”中“目录安全性”中的“IP地址和网域名限制”的设置有关）
3、是否允许用户？
否：401状态码拒绝访问，强迫客户端重新接受请求。
（此步和“站点属性”中“目录安全性”中的“匿名访问和验证控件”和“安全通讯”的设置有关）
4、IIS目录权限允许访问吗？
否：403状态码（同2）
（此步和“目录属性”中“目录安全性”中的“匿名访问和验证控件”和“安全通讯”的设置有关）
5、NTFS允许文件访问么？
否：401状态码（同3）
6、允许访问

——摘自《IIS4.0使用大全》P283

（好象用程序流程些更好，原文是个流程图，真是愚昧）