检查网站内容不包括什么？检查很多人第一反应是“不包括违法信息”。错。网站违法信息当然要查，内容但那是不包底线，不是检查重点。我见过太多团队把精力全砸在敏感词过滤上，网站结果真正的内容漏洞像筛子一样漏风。

去年给一家电商平台做审计，不包他们的检查内容审核系统挂着三层防火墙，关键词库更新到十万条。网站结果呢？内容商品详情页里藏着几十个错别字链接，点进去全是不包竞品的优惠券。用户骂声一片，检查客服信箱被投诉塞爆。网站那十万条关键词，内容没一条能拦住这种低级错误。

检查网站内容，首先不包括“只查页面上的文字”。图片里的水印、PDF里的隐藏批注、视频字幕里的乱码，这些才是内容的一部分。有次我处理一个政府网站，首页新闻稿干干净净，但点击下载的附件里，Excel表格的备注栏留着内部讨论记录——连领导“这稿子再改改”的批注都在。这种内容，算不算网站内容？当然算。但常规检查根本不会碰附件。

也不包括“只看当前状态”。网站是活的，内容会变。昨天审核通过的页面，今天可能被注入一段恶意代码。更常见的是，后台编辑改了个字段，前端样式错乱，把原本隐藏的测试文案顶了出来。我见过一个旅游网站，淡季时首页挂着“暑期特惠”的横幅，因为运营改了价格却没改时间参数，整整挂了两个月没人发现。检查内容得看动态过程，不是拍一张静态快照就完事。

还有，检查不包括“用户能看到的部分”。robots.txt里写的Disallow规则，sitemap.xml里漏掉的URL，这些文件本身也是内容。有个做教育产品的朋友，他们的API文档里放着一个调试用的接口地址，没加任何访问限制。结果被人爬走大量用户数据，而他们的内容检查报告里，全站HTML、CSS、JS都标了“无异常”——因为压根没人去看那个纯文本文件。

说白了，内容检查的核心误区，是把“网页”等同于“内容”。网页只是载体，真正的内容包括元数据、接口返回的JSON、甚至错误日志里泄露的堆栈信息。你只盯着浏览器里渲染出来的东西，就等于把房子刷了漆，却不管地基里的白蚁。

那怎么办？我的建议很土——把检查范围列成清单，每一条都问“如果这里出错了，用户会怎么骂我”。别用技术术语定义“内容”，用后果来定义。比如“用户能看到的任何东西”“用户能下载的任何东西”“用户能提交的任何东西”都算。这比什么“全站扫描”实在多了。

最后说个反常识的：检查网站内容，也不包括“检查所有内容”。信息爆炸时代，你不可能面面俱到。关键是把资源砸在用户路径上——注册流程、支付页面、搜索功能，这些环节出错的代价最大，优先查。至于角落里一篇三年前的活动公告，错个日期真没人看。分清主次，比追求“全面”重要得多。