会员分组和权限，能不能只控制文章的可见范围

会员分组和权限能不能只控制文章的可见范围？能控制，但要理解清楚它控制的是什么：可见范围是一条规则作用在多个出口上，不是只把详情页挡起来。用户组与 VIP 分组设置的访问权限决定谁能取到哪篇内容，而出口至少有详情页、分类列表、站内搜索、接口读取这四处。只在其中一处生效，受限内容照样会从别的地方漏出去。

控制点不止文章详情页

最常被漏掉的是列表与搜索。详情页按权限挡住了，但列表页仍把标题、摘要连同更新时间一起显示出来，等于把受限内容的存在性和部分正文公开了。摘要写得越完整，漏得越多。

站内搜索是第二个漏点。检索结果通常按关键词匹配返回条目，如果索引阶段没有带上用户组条件，非会员只要搜到关键词就能看到受限标题。

接口读取是第三个漏点，也是影响面更大的一个。文档列表与详情、分类与标签这些高频能力在接口调用里都是可编程的，前端做了拦截而后端接口没做，权限就只是页面级的装饰。

分组怎么划更稳

分组按「内容获取方式」划，不按「人多人少」划。

一种划法是把读者分成公开访客、注册用户、付费会员、内部编辑四组，每组对应固定的内容范围。要注意的是组数不是越多越好：组别细到每篇文档都能配一个组，实际上没人能维护，漏配的概率反而上升。

更稳的做法是让分组对应栏目而不是单篇文章：受限内容集中在少数几个受控栏目里，权限跟着栏目走。单篇级的例外再单独配，量小才守得住。

会员投稿要叠哪一层审核

开放会员投稿时，权限控制解决的是「谁能看到」，不解决「进来的是什么」。这一层要靠内容安全设置：敏感词过滤负责命中即拦或降级，关键词替换处理可放行的表述，内容审核承接人工复核。

三者叠加的顺序是按成本排：过滤与替换在提交时自动跑，人工只看被降级和标记的那部分。否则投稿量一上来，人工审核会先把站点压住，而不是权限配错。

草稿与回收站里的权限

受限内容的中间态同样要管。文档状态分为正式文档、草稿、待发布、回收站，草稿可以通过带 preview 参数的链接预览。预览链接的传播性比正式发布页强得多，一条发给非会员也能打开的话，权限等于旁路了。

删除也要看清楚：删除正式文档是移入回收站而不是物理删除，内容还在库里。回收站条目如果仍被列表或接口取到，「已下架」的内容就还在对外可见。配权限时把这几类状态一起纳入检查范围。

接口侧的一致性怎么核

核的方法是拿同一个受限文档，用不同身份各调一次，而不是只看后台配置项。

第一步，按公开身份调用接口文档里列出的文档列表与详情能力，确认受限内容不出现在返回结果里，也不出现在摘要字段中。第二步，用受限账号登录态再取一次，确认能取到。第三步，站内搜索同一个只有受限内容才命中的关键词，比对两个身份下的结果条数。

按标题查询是否已存在这类接口也值得一并核对：能按标题查到，就意味着标题本身被暴露了。API 调用侧的权限口径要和前端保持一致，这一步不能省。

常见问题

只想挡住详情页，别的地方能不能不管

不建议。列表、搜索、接口任一处没收敛，受限内容都会从那里外泄。要管的范围由出口数量决定，不由页面设计决定。

分组设错了会不会把公开内容也挡掉

会。权限按栏目收时，误挂到受限栏目的公开内容同样会被挡。改动后用非会员身份走一遍列表和搜索，是成本较低的核对方式。

会员投稿要不要先审后发

取决于内容风险。涉及联系方式、外部链接、行业资质表述的栏目建议先审后发，其余可先发后审，但要让敏感词过滤和关键词替换在提交时即刻生效。