Возможно, вам следует создать отдельного пользователя для этого веб-приложения и разрешить доступ только для него.Таким образом, не каждое приложение, размещенное на IIS (использующее IIS_User), будет иметь права на создание хаоса в этой папке.Я не уверен, каковы последствия для безопасности, теоретически, если кто-то может использовать ваше приложение для отправки удаления в эту папку - файлы будут удалены.И все же вы не можете просто запретить это, поскольку ваше приложение должно быть в состоянии сделать это ...
Всегда, чем больше функциональности вы предоставляете, тем более уязвимо ваше программное обеспечение.Лично, когда я разрешаю веб-приложениям обрабатывать файлы, я делаю именно это - проверяю, запущено ли приложение под пользовательским локальным пользователем и разрешает только права на определенную папку.Включая все меры безопасности, вы можете подумать, чтобы убедиться, что этот вызов API не может быть использован ...
Извините, я не могу больше помочь.