网站留言区是个很有意思的地方。它同时是「用户反馈的第一现场」和「垃圾信息的第一入口」，而这两类东西长得越来越像。十年前垃圾评论的特征很粗暴——满屏外链、错别字、一句话里塞三个关键词、一看就是软件发的。现在不一样了：用模型生成的中文垃圾话语法通顺、情绪自然、还会顺口夸你一句。
于是问题从「怎么批删」变成了一个更难的判断：这一条到底是老读者的真心话，还是伪装得很好的一条广告。这直接影响处置策略——删错了伤的是人，不删伤的是站点。
先说清这篇在站内运维序列里的位置，避免和已有几篇混在一起：OpenClaw 网站安全巡检 管的是文件层有没有被人动手脚；Cloudflare 收录与爬虫拦截 那条线管的是流量层谁在抓你的站；这篇管第三层——内容层，也就是别人通过公开入口（评论、留言、表单、注册）主动提交进来的东西。文件层是「机器被人改了」，流量层是「有人来抓」，内容层是「有人来塞」，三件事的处置手段完全不同。
一、五类判定信号：不靠感觉，靠能解释的特征
判定垃圾信息最容易犯的错是用一个模糊印象做决定（「看着像广告就删」）。这样既不可复现，也没法向被误伤的人解释。正确做法是拆成五类可指认的信号，一条评论命中几类就按几类算。
1. 来源与频率
- 同一 IP 或同一 IP 段在短时间内的提交次数（尤其是踩着你没发新文章的日子还来）。
- 提交间隔过于规律——每条相隔正好 60 秒、正好 5 分钟，这种「准点」本身就是机器特征。
- 同一邮箱 / 同一昵称在一天内出现在多个不相关页面上。
2. 文本特征
- 外链数量与锚文本：链接超过 1 条、或同一条链接在多条评论里反复出现且锚文本完全一致。
- 联系方式：手机号、微信号、QQ 号、Telegram、邮箱、二维码——只要出现在评论正文里，就值得单独标出来。
- 字数异常：异常的短（「不错」「学习了」连续十条来自同一个人）或异常的长（比正文还长，且和正文毫无关系）。
- 模板化夸赞：把「写得真好」「受益匪浅」「期待更新」作为一段长文的核心内容。
3. 上下文不符
这一类最能识别模型生成的内容：评论和它所在的那篇文章有没有实质关系。让判定模型做一件事就够——从评论里找出它引用的文章内容；找不到，或者只能重复标题里的词，就有问题。真人的评论通常至少沾到文章里的某个具体点。
4. 身份痕迹
- 一次性邮箱域名（临时邮箱服务）、邮箱本地部分是一串随机字符。
- 同一邮箱在多个不相关站点留下过相同内容（如果有条件做站外交叉验证）。
- 没有历史、没有头像、第一次来就发链接。
5. 行为模式（这一层要配合日志看）
不只看评论本身，还看这个访客在站上的行为：只访问提交页、从不看正文；在极短时间内遍历所有老文章并逐篇提交；提交失败的次数远多于成功（在试规则）。这类模式需要访问日志的支持，思路和 数据质量门禁 里「先看数据是怎么进来的」是一样的。
二、三档处置：不要把「删」当第一选择
判定的结果是三档，不是两档（干净 / 垃圾）。中间的档位是整个流程里最重要的设计。
第一档：直接拦下（不进审核队列）。只给那些确定性极高的：命中黑名单（IP / 邮箱 / 关键词）、填了蜜罐字段（隐藏字段真人看不到，机器人会填）、单条评论链接数超过阈值。这一档要宁可少而准，因为拦错了用户连申诉入口都看不到。
第二档：进待审池（默认不公开，保留原文）。所有「可疑但不确定」的评论都进这里，包括模型判定为垃圾但规则没命中的。关键点：进待审而不是进垃圾桶。删掉的东西无法回捞，而待审只是暂时不显示——这是给误判留的退路。
第三档：放行。白名单用户、老读者、以及本轮判定明确正常的评论。放行后建议做一件事：把放行样本也留一份记录，用于事后抽查有没有漏网的。
待审池本身也要有秩序：谁是几小时前进来的、谁已经躺了三天没人看，得能区分。堆在一起的待审池等于没有待审池——这一点和 AI Agent 失败升级规则怎么定 里「什么情况该升级给谁」是同一类问题。
另外加一条成本极低但效果最好的动作：给超过一定时间的老文章自动关闭评论。绝大部分垃圾信息是往老文章上堆的（因为老文章权重高、站长也不再看），关掉就一次性砍掉一大截量。
三、防误伤三招：把人放在流程里，而不是放在流程外
第一招，白名单要分层。至少三层：永不拦（同事、客户、长期互动的读者）、免链接检查（可信来源发外链直接放行）、优先展示（老读者的评论排队优先）。白名单本身要能审——每次调整记录是谁、为什么加。
第二招，每天留一个「回捞窗口」。让 OpenClaw 每天在日报里附上「今天被拦下但你可能会想看一眼的 N 条」——从待审池里挑出文本质量高、只是带了链接或命中了关键词的那些。人工扫一眼，一分钟就能救回一条真实反馈。这个动作和 人工复核抽检 是同一个逻辑：不是每条都看，但关键样本不能漏。日报本身也别把所有东西都塞进去，合并重复信号才有人愿意读，做法可参考 OpenClaw 告警降噪怎么做。
第三招，申诉要给到手边。被拦下的评论，至少在有条件时给提交者一个「认为这是误判」的入口，或者让被拦内容仍然能通过邮件通知到达站长。这一点和 客户可见动作怎么管 里的原则一致：凡是用户能感知到的动作，都要有解释和回退。
四、让模型判定的成本与稳定性：先粗筛，再精判
很多人第一反应是「每条评论都丢给大模型判一下」。这件事在量小的时候可行，量一大就有两个问题：费用线性上涨，以及判定结果会漂移（同样的评论不同批次给出不同结论，你没法解释为什么今天这条被删了）。
建议的做法是三级漏斗：
- 规则粗筛（零成本）：用第一节里的频率、链接数、关键词、蜜罐这些硬特征，先把确定性高的一小部分直接处理掉。这一步通常能过滤掉大部分明显的垃圾。
- 模型精判（只判剩下的）：对规则拿不准的那部分调用模型，要求它按结构化输出返回（判定结果 + 命中的信号类别 + 一句理由）。有了「命中的信号类别」，你才能统计哪条规则最常触发，也才能在出错时解释。
- 人工处理争议样本：模型判定的结果与人工复核结果不一致的那些样本，收集起来。它们是最有价值的资产——既是提示词的改进依据，也是回归测试集。思路和 AI Agent 评测怎么做 是一个道理：样本要从真实分歧里长出来，不是自己编的。
提示词的版本也要管起来：判定规则一改，历史结论就不可比。至少记录「提示词版本 + 生效时间」。
五、三条必须守住的边界
边界一：先隔离，不要先删。可疑内容默认进待审池，保留原文和提交时间。删除只用于确定性极高的场景。原因很实在：误判时你能回捞，而且能回答「我为什么删了你」。
边界二：只判行为，不判人。规则要落在「这条评论有什么特征」上，不要写「这个用户一看就是营销号」。前者可复现可申诉，后者既容易伤到人，也没法向任何人解释。
边界三：不做整段封禁，除非有充分理由。封 IP 尤其要小心——很多正常用户共用运营商出口 IP，封一个 IP 可能误伤一片人。相比之下，封某个具体账号或某个邮箱的提交能力，影响面小得多。
还有一条容易被忽略的原则：不要因为「像 AI 写的」就删。现在很多真实用户的留言本身就是用 AI 润色过的，把这条当判据会大面积误伤。
六、优缺点和适合人群
优点：把一件靠心情做的事变成每天跑一遍的流程；三档处置加回捞窗口，显著降低误伤；规则粗筛把模型判定的量压下一个数量级，成本可控；判定带信号类别和理由，出了问题能追。
缺点：需要一段时间积累白名单和黑名单，刚上线的头两周效果一般；模型判定的稳定性需要自己盯，提示词要迭代；对「高质量伪装」的垃圾信息（真人手工发的软文）基本无效，那类只能靠人工；如果站点本身访问量很小，这套流程的维护成本可能高于收益。
适合谁：有公开评论或留言功能的站点、有对外表单（咨询、报名、反馈）的业务、内容平台上需要维护留言区质量的运营，以及任何「每天留言本来没几条、但每条都要看一遍很烦」的场景。
不适合谁：评论量极小的个人博客——直接开审核、人工点两下更快；以及开放程度极高、以 UGC 为核心的平台——那种量级需要专门的审核中台，不是一套 Agent 任务能扛住。
总结
- 定位：这是「内容层」的治理，和文件层安全巡检、流量层爬虫拦截三方互补。
- 五类信号：来源与频率、文本特征、上下文不符、身份痕迹、行为模式。
- 三档处置：确定拦下 / 进待审池（默认不公开但保留原文）/ 放行；再加一条「老文章自动关评论」减量。
- 防误伤三招：分层白名单、每天留回捞窗口、给申诉入口。
- 三条边界：先隔离不先删、只判行为不判人、不轻易整段封禁。
最后一句：留言区治理的目标不是「删得干净」，是「真实的声音不被淹没」。凡是把「全删干净」当指标的流程，最后都会把老读者一起删掉。
