受控图纸下载要分开永久说明页与临时文件地址

工厂要求客户登录后才能下载安装图纸，开发人员却把带token和expires参数的文件地址写进产品页源码。客户当时可以下载，百度稍后访问只得到权限错误；新签名又产生另一条URL。搜索系统始终看不到图纸适用型号、修订号和申请条件，只积累一批会失效的参数地址。

永久说明页承接公开检索信息

每份受控图纸先建立不带查询参数的说明页，例如/drawings/pump-a12-installation/。页面保持HTTPS 200、自引用canonical，并允许正常抓取。资料记录保存document_id、product_model、drawing_type、revision、effective_date、file_format、access_level、summary和reviewed_by，公开正文从已审核字段生成。

说明页可以公开图纸名称、适用型号、文件格式、当前修订号和申请条件，但不展示客户项目号、内部尺寸明细或签名参数。下载按钮先进入登录或申请流程，权限通过后再向后台请求临时地址。申请表的来源字段只记录说明页URL和document_id，不把签名地址回写CRM或通知邮件。客户从搜索结果直接进入资料文件的边界，可结合PDF搜索入口与产品页的衔接方法一起检查。

同一份图纸可能出现在多个产品页和案例页中，这些页面都链接到同一个说明页，不能各自生成一份下载介绍。说明页的主地址由document_id决定，产品关系另存适用范围。处理多处入口时，可参照多栏目内容保留一个主地址的做法核对canonical和站内链接。

临时地址只负责一次授权传输

后台签发文件地址时，授权记录至少包含request_id、document_id、revision、user_scope、issued_at、expires_at和download_status。地址只返回给通过验证的当前用户，不写入HTML源码、sitemap、结构化数据、hreflang或公开接口。日志需要保存签发结果，公开分析报表则去掉完整token，避免参数再次出现在可访问页面。

文件响应应返回正确的Content-Type和Content-Disposition，下载名称可采用pump-a12-installation-r06.pdf。受控内容可使用Cache-Control: private, no-store，防止共享缓存保存文件；站点还可按实际浏览器行为设置Referrer-Policy: no-referrer，减少完整地址被带到其他页面。开发人员要从网络面板读取真实响应头，不能只看服务器配置稿。运维若增加X-Robots-Tag，只能把它当作补充指令，并先确认目标搜索系统是否识别；真正的访问边界仍由身份验证和文件权限决定。

签名过期后，服务器对旧地址返回明确的401或403，不要回传状态为200的通用下载页。前端收到过期响应时，引导已登录用户回到永久说明页重新申请，不能在浏览器里拼接新token。若某条临时地址曾出现在公开源码、站点地图或邮件归档页，负责人应删除公开引用、使旧签名失效，并检查访问日志中的参数来源。

图纸换版只调整说明页的文件关系

图纸主记录保留document_id，文件版本另存revision、file_hash、approved_at、effective_date和superseded_by。新版通过审核后，资料负责人把说明页的current_revision切换到新记录，并更新公开的修订号、适用范围和修改日期。旧版文件继续留在受控档案中，历史订单需要时按权限调用。

产品页、案例页和站内文章只链接永久说明页，因此换版时不需要批量替换带签名的URL。旧标准编号或适用条件变化时，可按技术标准换版后的内容清单反查受影响页面，再由图纸审核人确认哪些公开说明需要改。

发布验收分两种身份执行。未登录访问说明页应得到200，源码中没有token，canonical和sitemap只保留干净地址；授权用户点击下载后，应取得与页面修订号一致的文件。测试人员随后让签名过期，确认旧地址返回权限状态，再从说明页生成新地址。公开宣传册本来就允许检索时，无需套用受控下载流程。

资料负责人结单前检查产品页链接、说明页可见字段、文件响应头和旧签名状态，再用抓取测试确认公开源码没有token。临时地址只在授权时传递文件，不承担长期检索入口。四处结果与同一document_id和revision一致后，负责人再关闭本次发布任务。