Ohne die anderen Beiträge gelesen zu haben: Wenn du solche Seiten nicht per robots.txt aus dem Index ausschliesst, hast du was falsch gemacht.
Die Rechte sind dynamisch. Die ergeben sich erst nach der Auswertung des Requests

Stell dir vor jemand besucht zum ersten mal deine Seite, keine Cookies, keine Session, gar nichts. Was sieht er/sie?
Das lieferst du aus, und wenn das einen 4XX-Status-Code auslöst sollte es halt in der robots.txt auftauchen, evt. mit Wildcards
Wenn die Rechte allein über Reqeust-Parameter wie POST oder GET "berechnet" werden, hast du ein derbes Problem.

MfG
bubble