站点有一套内容發布流程，但流程里最容易被忽略的，是那些還没准备好公開的頁面：草稿、预览連結、測試环境、部署平台按分支生成的预览地址。它們不在導航里，也不會出現在站点地图中，却可能被猜到、被分享、被日誌记錄下来，最後出現在訪客眼前。
半成品是怎么被看到的
- 草稿文章的 URL 按日期或自增 ID 生成，改一個數字就能试出相邻内容。
- 編輯把预览連結發進群聊或工單系統，而連結本身不带任何驗證。
- 測試站挂在同一台服務器上，只是換了前缀，例如 test、dev、staging。
- 部署平台為每個分支生成獨立预览地址，預設可以被公網訪問。
- 图片與附件先落库，文章没發布，文件已经能被直接打開。
- 舊版本的静態快照留在服務器目錄里，曾经被抓取過。
内容侧自查
草稿與预览
- 预览連結是否要求登入或带一次性令牌，而不是一個固定網址。
- 预览頁返回的狀態碼和 robots 指令，是否明确表達了不希望被索引。
- 草稿的 ID 是否连續可枚举，能不能改成随机串。
- 定时發布的文章，在到点之前是否真的取不到内容。
- 撤回或刪除的文章，是否還有缓存副本與快照可以被訪問。
附件與上传
- 上传目錄是否關閉了目錄浏览，避免被批量罗列。
- 没有被任何頁面引用的图片，是否仍然可以被直接打開。
- 文件名是否包含内部項目名、客戶名等不该外露的信息。
技術侧自查
索引指令與訪問控制
- 预览頁的 X-Robots-Tag: noindex 是否真正生效。
- 要清楚 noindex 只挡索引，不挡訪問；敏感内容必须靠登入或 IP 白名單。
- Basic Auth 的口令是否還是預設值或早已离职同事設定的舊口令。
- 測試环境是否复用了生产环境的證书與 cookie 域，導致登入態串场。
环境與部署
- test、dev、staging 等子域是否解析到了公網。
- 部署平台的预览地址是否預設公開，能不能改成僅团队成員可见。
- CDN 是否把測試域名也接進来，導致缓存和抓取记錄混在一起。
- robots 與站点地图里，是否誤把測試路径寫進了生产配置。
怎么驗證
- 登出登入，用無痕窗口打開预览連結，確認是否需要驗證。
- 用請求工具查看响應头，核對應有的 noindex 與狀態碼。
- 在站内搜尋、站点地图、RSS 輸出里搜一遍測試域名。
- 翻訪問日誌，看哪些路径在被持續請求，尤其是带參數的预览地址。
- 在搜尋引擎里對測試域名做一次 site 查询，確認有無残留记錄。
發現問题後的處理顺序
- 先收回訪問權限：加登入、改口令、下线公開的预览部署。
- 再补上 noindex 與 robots 規則，避免繼續被抓取。
- 清理缓存、快照，以及已上传但未被引用的文件。
- 复盘發布流程，把“预览环节”寫進上线前的检查清單。
- 定期复查，而不是處理一次就当作結束。
草稿與预览的管理，本质上属于發布流程的一部分。上线前多按一次確認，比事後清理缓存、通知各方要省事得多。
對内容团队来说，這類問题往往不是技術能力不足，而是没人把“未發布狀態”当成一個需要维護的狀態。把它寫進流程、定期抽查，站点就不會因為一個随手發出的预览連結而尴尬。