WordPress 挂着 WP REST API 的集资站点，十有八九被采集爬虫盯上过。源站我去年帮朋友排查一个流量异常的集资外贸站，日志里每天有超过两万次请求来自同一个 IP 段，源站User-Agent 伪装成 Googlebot，集资实际在批量拉取 wp/v2/posts 接口。源站这不是集资个例。CMS 采集资源站这条产业链，源站比大多数人想象的集资成熟得多。

先说 WordPress。源站它的集资开放性决定了它既是最好用的建站工具，也是源站最容易被采集的目标。默认的集资 RSS feed 输出全文，JSON API 不做鉴权，源站sitemap 自动生成。集资采集者只需要一个 WordPress 的采集插件，比如 WP All Import 配合 Feedzy，设置好源站 URL 和字段映射，半小时就能搭起一个自动更新的资源站。更粗暴的做法是直接爬 HTML，用 Python 的 BeautifulSoup 解析文章容器，正则提取标题和正文，图片批量下载到本地再替换链接。我见过一个做影视资源的站，整站内容都是从三个 WordPress 站采集来的，连文章 ID 都没改，评论区加载的是源站的 Disqus 短代码。

DedeCMS 的情况不一样。它在国内中小站长圈子里存量巨大，但官方早已停止维护。它的采集功能是内置的，后台有“采集节点”管理，支持正则和自定义规则。很多老站长用 Dede 的采集功能做站群，一个主站带几十个副站，内容自动同步。问题在于 Dede 的模板标签和数据库结构太固定，采集者摸清规律后，写一套规则就能通杀。我见过一个采集规则文件，针对 Dede 的 arctype 和 archives 表结构，直接绕过前台页面，从数据库层面拉数据。这种玩法对源站来说几乎是透明的，日志里连蜘蛛痕迹都看不到。

帝国 CMS 和 PHPCMS 的采集生态更偏向“定制”。帝国 CMS 的数据表结构灵活，字段可以自定义，采集者需要针对每个站单独写规则。这反而成了一道门槛。PHPCMS 的 V9 版本有个著名的采集模块漏洞，可以远程执行 SQL 查询，采集者利用这个漏洞直接拖库。2019 年那波 PHPCMS 站被批量采集的事件，根源就是没打补丁的采集模块被逆向利用。我认识一个做法律资讯的站长，他的 PHPCMS 站被采集后，连网站标题和描述都被原样复制，百度收录里出现了两个几乎一模一样的站点，他的流量掉了四成。

Typecho 和 Hexo 这类轻量 CMS 也没能幸免。Typecho 的默认 RSS 输出全文，Hexo 生成的静态站更容易被爬——没有数据库查询压力，采集者可以放心大胆地高频请求。我观察到一个现象：GitHub Pages 上托管的 Hexo 博客，如果文章质量不错，通常上线两周内就会出现至少一个镜像站。这些镜像站用 Cloudflare 隐藏真实 IP，域名注册信息全是隐私保护，投诉都找不到人。

采集资源站的盈利模式很直接。一种是挂广告联盟，用采集来的内容快速填充站点，赚展示广告的点击费。另一种是卖会员，把采集的付费课程、设计素材、源码资源打包，标价 99 到 299 元不等。我见过最离谱的一个站，采集了某知识付费平台的全部课程，连音频文件的命名规则都没改，直接挂在网站上卖 199 元永久会员。还有一种更隐蔽的，采集内容后做 SEO 优化，把流量导到私域卖货。这类站通常存活周期短，被封了就换域名重来，成本极低。

对抗采集的手段在升级，但采集技术也在进化。Cloudflare 的 Bot Fight Mode 能挡住一部分低质量爬虫，但对模拟真实浏览器行为的采集器效果有限。有些站长用 JavaScript 动态渲染内容，采集者就上 Puppeteer 或 Playwright。有些站长做图片防盗链，采集者就把图片转成 Base64 嵌入文章。这场猫鼠游戏没有终点。我的判断是，只要 CMS 还依赖开放协议做内容分发，采集就不可能被彻底杜绝。对站长来说，与其追求绝对防护，不如把精力放在内容差异化和用户粘性上——采集者能复制你的文字，但复制不了你的社区和品牌。