下面把「现在已经做了什么」「挡得住什么」「还差什么」逐条列清，方便您判断要不要继续投入。
| 措施 | 覆盖范围 | 状态 |
|---|---|---|
| 全站访问门（邮箱白名单） | 326 个页面，只有 3984557428@qq.com 能进入 | 已上线 |
| robots.txt 全站禁止抓取 | 14 个搜索引擎/AI 爬虫 UA 全部 Disallow: / | 已上线 |
| 页面 noindex 标签 | 293 页补齐（另有 33 页原本就有） | 已上线 |
| 登录页防护说明 | access.html 上明写清能力边界，不制造虚假安全感 | 已上线 |
原来的 robots.txt 写的是全面放行所有 AI 爬虫（GPTBot、ClaudeBot、Perplexity、百度等），目的是让 AI 搜到并引用您的内容，提升曝光。
但现在的实际情况是：站点上放着您的教材全文（508KB）、15 张判定表 PDF、讲师版 PPT、报价策略、定价模型——这些是私有资产。原来那份配置等于把它们主动送去给 AI 训练。
所以已改为全站禁止抓取。如果将来您想重新做公开引流，必须先想清楚：哪些页面可以公开，哪些必须留在门后。两件事不能同时要。
| 场景 | 挡得住吗 | 说明 |
|---|---|---|
| 搜索引擎收录您的教材全文 | 挡得住 | robots + noindex 双保险 |
| AI 爬虫抓走内容去训练 | 挡得住 | 14 个主流爬虫 UA 已明确禁止 |
| 微信里链接被随手转发、同学点开 | 挡得住 | 会先落到登录页 |
| 同行搜您的书名找到教材 | 挡得住 | 已不进索引 |
| 普通访客浏览 | 挡得住 | 需要邮箱验证 |
| 懂技术的人 curl 下载 HTML 源码 | 挡不住 | 静态站的固有限制 |
| 直接下载 zip / pptx / pdf 成品 | 挡不住 | 门只管页面，管不到文件本身 |
访问门管页面，管不到直接下载的文件。目前全站有 38 个可直接下载的成品，只要有人猜到地址就能拿走，合计约 3.0MB。最值钱的几个：
| 文件 | 体积 | 风险 |
|---|---|---|
HRMA高校教师开课资料包.zip | 1.2 MB | 高 整套教学资源打包 |
series/HRMA收益管理书系-下载.zip | 520 KB | 高 32 本口袋书全集 |
收益管理15张判定表-口袋本.pdf | 216 KB | 高 核心方法论 |
L3-讲师版.pptx | 各约 170 KB | 高 完整授课课件 |
templates/*.xlsx（8 个） | 约 200 KB | 中 可直接改用的工作模板 |
data/*.csv（4 个） | 约 180 KB | 中 历史经营数据样例 |
resources.html、series.html、books.html、coach.html 等页面上的下载链接会失效。这需要把站点迁到有服务器的平台，由服务器在返回内容之前先验身份。三条路：
Cloudflare 的「零信任」网关，可以直接保护 *.pages.dev 域名，不需要买域名。配置大概 20 分钟：
crm/ 目录推到 Cloudflare Pages（免费，生成 xxx.pages.dev 地址）3984557428@qq.com*.pages.dev 无大陆节点），您自己访问可能慢或偶尔打不开；静态站 55MB 每次都是从境外拉。项目里已经备好了 deploy_tcb.sh（CloudBase 静态托管）和 国内可用性与备案方案.md。国内访问速度是所有方案里最好的，但需要：买域名 → 提交 ICP 备案（10–20 天）→ 开通环境 → 上传。
接受站点页面继续公开，但把教材全文、书系、PPT、判定表 PDF这四类撤出公开仓库，只在您需要时从本地取用或用带密码的压缩包单独发。
先做路线 C，把四个高危成品撤下来。理由：它今天就能做完，能立刻堵住「整包被拿走」这个最大风险，而且不动您的页面结构。
暂时不要为了登录去迁 Cloudflare。您的站点现在几乎没有外部流量（还没有第一个学校案例），迁移带来的访问不稳定风险大于收益。等您真有了客户、站点开始被人访问，再上 Cloudflare Access，那时它的价值才显现。
等真到了要长期公开卖课的那天，再走路线 B 备案 + 国内托管。那时访问速度才会真正影响成交。
| 要做的事 | 怎么做 |
|---|---|
| 改完内容重新上线 | cd hrma && zsh sync_gh.sh "说明" |
| 新增页面（自动带门） | 放到 crm/ 下，注入器会覆盖；新增后跑一次注入脚本即可 |
| 临时撤销访问门 | python3 inject_gate.py --undo，再重新部署 |
| 让所有设备重新验证 | 改 access-gate.js 里的 SALT 值即可（旧凭证自动失效） |
| 改白名单邮箱 | 改 access-gate.js 与 access-login.js 里的 EMAIL（两处必须一致） |
| 撤下可下载成品 | 从 crm/ 移到 crm/_private/（下划线开头不会被发布），并同步修掉页面里的下载链接 |