很多站点上都存在这种情况：编辑在后台写了一半的稿子，顺手点了预览，系统给出一个临时地址；或者技术同学搭了测试环境，用同一份数据跑了一遍。当时只是自己人打开看看，事后没人清理。等到某天在搜索结果里看到一条标题写着“（草稿）测试”，才发现这些东西已经跑到站外去了。
草稿与预览地址一般从哪来
- CMS 的预览功能生成的临时 URL，通常带 token、?preview=1 之类的参数；
- 发布前发给客户或同事看的分享链接，用的是正式域名下可以直接打开的地址；
- 测试、预发布环境（test、staging、beta 等子域）解析到了公网，没有做访问限制；
- 静态站点每次构建产出全量文件，旧版本目录和历史页面没有删除；
- 上传目录里的附件、PDF、图片被直接引用，缺少权限或索引层面的限制。
这些地址的共同点是：创建的时候都没打算长期存在，所以也没人把它们当成正式页面来管理。
被提前访问到会带来什么麻烦
首先是内容不完整。草稿页往往缺图、缺表格、正文写到一半，如果访客先看到的是这个版本，对站点的印象会打折。其次是地址重复，正式版上线后新旧两个地址同时可访问，同一内容出现多个入口，后续处理起来要额外花时间。
再就是信息外泄。草稿里可能写着还没定下来的价格、活动方案、合作方名称，这些内容提前流出去，解释成本比修改页面高得多。另外，一批半成品页面被反复访问，也会分散本就不宽裕的抓取额度。
自查可以从这几步开始
站内排查
- 在搜索引擎里用 site: 语法配合草稿、测试、预览等关键词查一遍，看有没有明显不属于正式内容的地址；
- 打开 robots.txt，确认没有把测试目录误放行，也没有在规则写反的情况下放行了本该屏蔽的路径；
- 检查 sitemap 里是否混进了测试域名或带参数的历史地址；
- 翻一翻访问日志，搜 /preview、/draft、/tmp 这类路径，看是否有来自爬虫的请求；
- 抽查 CMS 的预览功能，确认它输出的是 noindex 标记，还是只在客户端渲染、地址却完全公开。
结构上的处理
- 预览地址统一加上 noindex 响应头或 meta 标签，别只靠前端隐藏；
- 测试环境整站套一层 Basic Auth 或 IP 白名单，这比写 robots 规则更可靠；
- 测试域名单独做 robots.txt，同时确保它不会被正式站点引用；
- 正式版上线时，把对应的草稿地址做重定向或返回 404、410，别让它继续挂着。
预览地址并不因为是“临时”的就安全。只要它还能被访问，就有可能被记录、被转发、被索引。
把这道检查放进日常工作流
比较省事的做法是固定几个检查节点：新站上线前查一次，改版或换域名后查一次，批量导入内容之后查一次。把“草稿地址是否清理”“测试环境是否加了访问限制”写进上线清单，比事后补救轻松得多。
如果团队里有多个编辑共用后台，可以在编辑规范里加一条：预览链接只在内部沟通渠道发送，不转发到外部群，也不放进任何公开文档。规则简单，但能挡掉相当一部分意外暴露。