IIS 處理大檔上傳時常觸發 413 錯誤（請求實體過大）或瀏覽器陷入重試死循環。根因在於 IIS 預設只預讀 48KB (49,152 Bytes) 到緩衝區，超出部分需應用程式主動請求讀取。若上傳處理元件 (ISAPI/ASP.NET) 未正確呼叫 Request.BinaryRead，數據將滯留連線導致超時。本文詳細解析三大關鍵 Metabase/設定屬性的調整策略與風險控制。

核心屬性對照表

屬性	適用版本	預設值	最大值	作用
UploadReadAheadSize	IIS 6.0+	49,152 (48KB)	4 GB	IIS 預讀緩衝區大小，超出部分需應用程式主動讀取
maxRequestLength	IIS 6.0 (ASP.NET)	4,096 KB (4MB)	2 GB	ASP.NET 執行階段層面的請求大小上限
maxAllowedContentLength	IIS 7.0+	30,000,000 (~28.6MB)	4 GB	IIS 核心層面的請求內容長度上限

調整策略與最佳實踐

1. 單站點 vs 全域設定

可透過 adsutil.vbs (IIS 6) 或 appcmd.exe / 管理主控台 (IIS 7+) 對特定網站設定 UploadReadAheadSize，避免全域調大帶來攻擊面擴大。

2. 設為 0 的特殊用途與風險

UploadReadAheadSize = 0 會強制 IIS 繞過預讀緩衝，直接將資料流導向 ISAPI 擴充套件。對不遵循標準讀取模式的第三方上傳元件極有效，但會失去 IIS 內建的請求緩衝與初步過濾保護，需確保上游應用具備完整輸入驗證與流量控制能力。

3. 協同調整請求大小上限

僅調大 UploadReadAheadSize 不足夠，必須同步調整 maxRequestLength (web.config) 或 maxAllowedContentLength (applicationHost.config)，否則仍會在上層被截斷。

4. 安全性邊界：以業務實際需求為上限

若設為 4GB 卻僅需上傳 50MB 文件，惡意用戶可發起大流量上傳耗盡頻寬/磁碟 (DoS)。原則：設定值 = 業務最大單檔 × 1.2 安全係數，並強制啟用身份驗證、速率限制、檔案類型白名單。

操作範例 (IIS 7+ PowerShell)

# 設定網站 "MySite" 預讀 10MB
Set-WebConfigurationProperty -Filter "system.webServer/serverRuntime" -Name "uploadReadAheadSize" -Value 10485760 -PSPath "MACHINE/WEBROOT/APPHOST/MySite"

# 同步調整 ASP.NET 上傳上限 10MB
# web.config

  


# 同步調整 IIS 核心請求長度 10MB
# applicationHost.config

  
    
      
    
  

總結

突破 48KB 限制的關鍵在於理解「預讀緩衝 → 應用讀取 → 執行階段/核心上限」三層管道機制。按需精準調整三大屬性，並以最小權限原則鎖定上限，兼顧業務彈性與系統安全。