限制谁能读一页

Web Device 在回放预渲染 HTML 之前、于 serve time 决定谁能读这一页。public 必须写在某一层策略上。没有集合、路径或 hatch 默认值的未标记记录是 404，站点管理员也不例外。

Connect 当前承认四种角色：guest、member、admin、owner。none 不是角色，而是硬拒绝。

先把集合设为 public，再收紧单条记录

常见写法：集合默认是 public，未标记的记录保持可读。再给少数受限记录打标。

# blocklet.yaml
collections:
  articles:
    access: public

# content/articles/members-only/content.md
---
title: Members-only note
access: member
---

本站 articles 集合已经有这个默认值。collections.<type>.access 是该类型详情的默认值，不设置 /articles/ 列表页。零配置的集合列表路由默认 public，除非你锁那条路由。因此类型级 member 默认不会关掉列表，只会关掉未标记的详情。

不要写 preview。未登录读者会看到正文的第一屏，然后是门。树的其余部分不会进入 HTML。Sitemap、llms.txt 和 MCP 会去掉受限记录，除非你写 preview: true。从集合继承 public 的未标记记录仍会出现在这些面上（arc#4086 之后）。

collections.<type>.readRole 是存储读取授权，不是这个 HTML 门。

未登录调用方是 guest。已登录的 DID Connect 会话可能带 member、admin 或 owner。本页不说明站点如何授予这些角色。

选择记录字段

记录上的具名角色只会收紧上层范围。记录上的 access: public 打不开被锁的路径或集合。要在锁下放开某一个 slug，写一条更具体的 accessPaths。见内容访问参考。

记录是否可上列表，看列表路由是不是 public（零配置的 /{locale}/{type}/ 是），或 blocklet.yaml 是否写了 hatch accessDefault: public。集合 access 不会让列表变 public。本站文章列表是 public，所以未写 preview: false 的受限文章会出试读。

预渲染可能把全文写进 .web-cache。闸在 serve 时、回放该文件之前。不要把 .web-cache 当静态文件托管。

被拒绝的读者会看到什么

详情页仍在站点 chrome 里。标题、作者、日期留在 post-hero。封面被清空。正文槽是第一屏试读（除非 preview: false）和 access-gate 截止。

2026-08-15 对一篇列出的 admin 文章的匿名 GET，ARC 2.0.0-beta.35，http://arcblock.localhost:4922/。现场采集，不是 mock。该夹具 URL 已不在本站。

2026-08-15、ARC 2.0.0-beta.35、http://arcblock.localhost:4922/ 上对一篇列出的 access: admin 文章的匿名 GET：

curl -sI http://arcblock.localhost:4922/en/articles/access-fixture-team/

HTTP/1.1 200 OK
cache-control: private, no-store
x-robots-tag: noindex

HTML 含 access-teaser，随后是：

<aside class="access-gate" data-kind="promo-shell" data-required-role="admin">
  <p class="access-gate-message">The rest of this piece is for admins.</p>
  <a class="access-gate-signin"
     href="/.well-known/service/login?return_to=%2Fen%2Farticles%2Faccess-fixture-team%2F&amp;cancel_to=%2Fen%2Farticles%2Faccess-fixture-team%2F">Sign in</a>
</aside>

那次采集里的受保护正文不出现。同一 URL 配上匹配的测试 caller 会返回正文，且没有门。登录走 DID Connect。

试读是对 AUP 树的服务端裁切（约 480 个视觉单位、最多两个顶层块、永远扣下最后一块）。它不是把全文放进页面再用 CSS 渐隐。

检查运行中的站点

使用包含 arc#4065 的运行时（上面采集的 arc --version：2.0.0-beta.35）。把服务指到你自己的 blocklet，探测你在那里声明的记录。本站不发布 access-gate 测试文章。

# 硬拒绝 — access: none 的记录
curl -sI http://arcblock.localhost:4900/en/articles/<your-none-record>/
# HTTP/1.1 404 Not Found
# cache-control: private, no-store
# content-length: 0

# 显式 public
curl -sI http://arcblock.localhost:4900/en/articles/<your-public-record>/
# HTTP/1.1 200 OK
# cache-control: no-cache

以 AFS_TEST_ALLOW_CALLER_HEADER=1 启动的本地服务接受测试 caller。两个头都必须带：

curl -s -H 'x-caller-did: z1admin' -H 'x-caller-role: admin' \
  http://arcblock.localhost:4900/en/articles/<your-admin-record>/ \
  | rg '<只出现在受保护正文里的字符串>'

member 调用方能打开 access: member 的记录，在 access: admin 的记录上仍会看到门：

curl -s -H 'x-caller-did: z1member' -H 'x-caller-role: member' \
  http://arcblock.localhost:4900/en/articles/<your-member-record>/ \
  | rg '<member-only 正文标记>'

curl -s -H 'x-caller-did: z1member' -H 'x-caller-role: member' \
  http://arcblock.localhost:4900/en/articles/<your-admin-record>/ \
  | rg 'access-gate|<admin-only 正文标记>'

只带 x-caller-role 仍会返回门。不要在公开部署上发送这些头。

失败情形

边界

解析顺序、accessPaths 语法、HTTP 头和发现规则见内容访问参考。门的 markup 见 access-gate。