XML文件上传大小限制配置 IIS服务器maxRequestLength设置

maxrequestLength是iis 7+中限制asp.net请求体大小的配置项，单位为kb，默认4096（4mb），需与system.webserver下的maxallowedcontentlength（单位字节）协同设置才能真正放开上传限制。

maxRequestLength 是 IIS 7+ 里限制单个请求体大小的配置项

它直接决定你能上传多大的 xml 文件（或其他 POST 数据），单位是 KB，不是 MB。默认值是 4096（即 4MB），超过就直接返回 http 400 错误，连 ASP.NET 的 Global.asax 都收不到请求。

常见错误现象：HTTP Error 400. The request filtering module is configured to deny a request that exceeds the request content length. 或更隐蔽的 404.13 - Content Length Too Large（其实是同一个底层限制）。

• maxRequestLength 必须写在 <system.web></system.web> 下，不是 <system.webserver></system.webserver>
• 它只对 ASP.NET 请求生效（.aspx、.ashx、Web API 等），静态文件（如纯 .xml）走的是 IIS 原生管道，不受此控制
• 如果你用的是 .NET Core/.NET 5+ 托管在 IIS 上，这个配置完全无效——得看 web.config 里的 <requestlimits maxallowedcontentlength="..."></requestlimits>

同时改 maxRequestLength 和 maxAllowedContentLength 才算真正放开

IIS 实际执行两层检查：ASP.NET 层（maxRequestLength）和 IIS 内核层（maxAllowedContentLength）。只要任一关卡超限，请求就被拦下，且错误提示可能不一致。

示例：想允许上传 20MB 的 XML 文件：

<system.web>   <httpRuntime maxRequestLength="20480" /> <!-- 20 * 1024 = 20480 KB --> </system.web> <system.webServer>   <security>     <requestFiltering>       <requestLimits maxAllowedContentLength="20971520" /> <!-- 20 * 1024 * 1024 = 20971520 bytes -->     </requestFiltering>   </security> </system.webServer>

• maxRequestLength 单位是 KB，maxAllowedContentLength 单位是字节，别混用
• 如果只改了前者，IIS 内核仍会拒绝 >30MB 的请求（默认值是 30000000 字节 ≈ 28.6MB）
• IIS 管理器 GUI 修改 maxAllowedContentLength 时显示为 KB，但实际写入 web.config 是字节——界面有误导性，建议直接编辑配置

XML 文件特别容易触发请求头/编码解析失败

大 XML 上传不只是长度问题。IIS + ASP.NET 在解析请求体前会先读取 Content-Type，如果 XML 声明里带了编码（比如 <?xml version="1.0" encoding="UTF-16"?>），而请求头没同步声明或声明冲突，可能在读取阶段就抛出 System.Xml.XmlException 或静默截断。

• 确保客户端发送时 Content-Type 明确，例如：application/xml; charset=utf-8
• 避免在 XML 文件开头用 UTF-16 或 UTF-32 编码——ASP.NET 默认按 UTF-8 解析请求体，编码不匹配会导致解析提前失败
• 如果必须处理带 bom 的 UTF-8 XML，注意某些旧版 .NET Framework（如 4.5 之前）会把 BOM 当作非法字符，报 System.Xml.XmlException: Data at the root level is invalid

部署后务必验证真实上传路径是否经过 ASP.NET 管道

很多项目把 XML 上传接口放在 /api/upload 这类路径下，但如果路由没配对或 web.config 被覆盖，请求可能根本没进 ASP.NET，也就不会触发 maxRequestLength 检查，而是直接被 IIS 静态文件模块拒绝。

• 检查 IIS 日志，确认状态码是 400.13（ASP.NET 层）还是 404.13（IIS 层）
• 临时加一个 Global.asax Application_BeginRequest，打印 Context.Request.ContentLength，确认大文件请求能否抵达
• 如果用的是 ASP.NET Core，maxRequestLength 完全无效，必须在 Startup.ConfigureServices 中调用 services.Configure<kestrelserveroptions></kestrelserveroptions> 或在 web.config 中设 <aspnetcore></aspnetcore> 的 requestTimeout 和宿主层限制

最常被忽略的一点：开发时改了 web.config，但发布时被 CI/CD 覆盖回默认值，或者服务器上有多个 web.config（比如子目录里嵌套了一个），导致设置没生效。上线前一定要确认最终部署包里的配置文件内容。