后台里点一下“预览”，把链接复制到聊天窗口，或者直接发给同事、客户、外包，这是很常见的操作。问题在于，这些预览链接、草稿链接和临时测试地址，往往没有经过正式站点的权限与索引规则控制。一旦被爬虫、访客或第三方抓取到，未完成的内容就可能提前出现在搜索结果或外部引用中。这里不谈玄学，只做一次可执行的自查。
为什么预览链接容易被发现
搜索引擎蜘蛛的发现路径不只有 Sitemap 和站内链接。一个 URL 只要出现在可访问的 HTML、JavaScript 接口返回、RSS、日志、外链、社交分享页面或浏览器同步数据中，就有可能被抓取。预览链接通常带有随机 token、时间戳或草稿 ID，看起来“没人知道”，但分享行为本身就会扩大暴露面。
另外，部分 CMS 的预览功能会生成永久有效的地址；有些测试域名解析到公网 IP，却没有登录校验；还有些站点的预览页虽然需要登录，但登录页没有 noindex，蜘蛛仍可能记录地址。这些都不一定立刻导致收录，但会增加后续管理成本。
常见泄漏途径自查
- 后台“预览”按钮生成的链接是否可以直接匿名访问，是否需要登录。
- 测试域名、预发布域名、临时 IP 是否解析到公网，是否被搜索引擎发现过。
- 预览链接是否出现在站内页面、RSS、站内搜索、相关推荐或接口返回中。
- 是否通过邮件、即时通讯工具、工单系统批量分享过草稿地址。
- 网站日志中是否有蜘蛛或陌生 IP 访问 /preview、/draft、/tmp 等路径。
- 草稿内容是否被同步到 CDN 或对象存储，并生成了公开可读的地址。
比“藏起来”更稳的做法
用 noindex 控制页面级索引
对于仍需匿名可访问的预览页，可以在响应头加入 X-Robots-Tag: noindex，或在页面 head 中设置 meta name="robots" content="noindex, nofollow"。注意，robots.txt 只能阻止抓取，不能阻止已经抓取到的 URL 出现在搜索结果里；如果页面不允许抓取，蜘蛛反而无法看到 noindex。因此，对于预览类页面，优先考虑“允许抓取但返回 noindex”，或者直接要求登录。
权限和有效期要一起管
更可靠的方式是让预览链接必须登录后访问，并设置较短的有效期。token 过期后，访问应返回 404 或 403，而不是继续展示内容。对于需要给外部人员看的草稿，可以单独创建受限账号，避免把带 token 的公开链接直接发出去。
发布后清理旧地址
内容正式发布后，旧的预览地址、草稿地址和测试域名上的副本要处理掉。可以删除预览记录、让 token 失效、把测试环境加上访问限制，并在服务器日志里观察这些地址是否还有访问。不要简单依赖“以后没人会点”，因为蜘蛛和第三方工具都可能保留历史地址。
发布流程中的几个检查点
- 新建草稿时，确认预览功能是否默认生成公开链接。
- 分享草稿前，先确认对方是否真的需要匿名访问。
- 上线前检查测试域名是否可被外部访问，是否已加 noindex 或基础认证。
- 发布后检查旧预览地址的返回状态，必要时做 404 或 410 处理。
- 定期在日志中搜索 preview、draft、tmp、token 等关键词，看是否有异常访问。
预览链接不是“内部地址”就天然安全。只要它在公网可访问，又缺少权限或索引控制，就值得按外部页面来对待。
这类自查不需要复杂工具，重点是改变发布习惯：预览链接默认当作可能被看到的地址，权限、有效期和 noindex 至少做好一项。这样既能保留编辑审阅的便利，也能减少未完成内容提前曝光带来的麻烦。