把同一个 PDF 发送给很多人看起来很简单：附加一个文件，添加多个收件人，然后发送。但对于机密或受控文档，这种做法可能带来不必要的安全和责任追踪缺口。
更安全的模式是从同一个源 PDF 开始，但为每位收件人生成独立的分发副本。文档内容可以保持一致，而密码、水印、文件名、追踪引用或交付记录则可以因人而异。
这样，发送方无需为每位收件人准备不同的源文档，也能更清楚地控制谁收到了哪一个副本。
为什么一个完全相同的附件通常还不够
如果同一个机密 PDF 不做任何变化就发送给二十位收件人，那么每个人拿到的都是无法区分的副本。
这会带来一些实际问题。如果文件后来被转发、上传到意外位置，或出现在预期受众之外，发送方可能几乎没有证据判断是哪条分发路径导致的。
所有人共用一个密码也会产生类似问题。一旦该密码泄露，所有相同副本都可能使用同一凭据打开。
按收件人生成副本的工作流程可以在不改变底层文档内容的情况下，提高隔离性和责任追踪能力。
从一个已批准的源 PDF 开始
分发流程应从一个已经批准的主 PDF 开始。
该源文件应是准备用于分发的最终版本。应将其与生成的收件人副本分开保存，以避免未受保护的主文件被误附加或误上传。
清晰区分源文件与输出文件也有助于后续验证，因为发送方可以明确区分：
- 已批准的主文档
- 已生成的收件人副本
- 收件人映射数据
- 交付记录
- 日志或追踪引用
对于重复开展的分发任务，主 PDF 可以持续作为共同内容源，而针对每一份新的收件人列表重新生成输出。
在生成文件之前准备好收件人列表
安全的多收件人分发始于准确的收件人数据。
至少应确认工作流程所需要的字段，例如：
- 收件人姓名
- 电子邮件地址
- 组织或部门
- 客户或账户引用
- 密码值或密码生成规则
- 水印文本
- 输出文件名
- 追踪引用
并不是每个流程都需要所有字段。只收集真正有助于分发目标和责任追踪要求的数据。
在开始生成之前，检查重复电子邮件地址、缺失姓名、格式错误的地址，以及已经不应再收到该文档的收件人。
为每位收件人生成一个副本
关键步骤是：即使所有副本都来自同一个主 PDF，也要为每位收件人生成独立的输出文件。
例如，一个源文档可以生成：
- `Report-Ahmet-Yilmaz.pdf`
- `Report-Maria-Garcia.pdf`
- `Report-Kenji-Sato.pdf`
可见的文档内容可以完全相同，但每个副本都可以包含收件人专属的保护或识别信息。
这种模式更容易把某个具体文件与某条具体交付记录关联起来。
有关按收件人批量生成 PDF 的更详细说明，请参阅 [批量 PDF 水印](/resources/articles/batch-pdf-watermarking/)。
当责任追踪重要时添加收件人专属水印
个性化水印可以把收件人信息直接放到每个生成的 PDF 中。
常见水印元素包括：
- 收件人姓名
- 电子邮件地址
- 客户编号
- 部门
- 保密标签
- 分发日期
- 追踪代码
目标并不是让页面充满个人数据。只应使用真正有助于识别或表达处理要求的信息。
如果文档后来出现在预期工作流程之外，可见的收件人专属标记可以帮助识别涉及的是哪一个已发出副本。
更多内容请参阅 [个性化 PDF 水印](/resources/articles/personalized-pdf-watermarks/)。
需要更强隔离时使用独立密码
如果 PDF 需要密码才能打开，那么为每位收件人使用不同密码可以减少单个凭据泄露带来的影响。
如果所有人共享一个密码，一次泄露就可能影响所有收件人。使用独立密码时，暴露范围可以限制到某一个已发出的副本。
安全的工作流程应做到：
- 可靠地生成或分配密码
- 避免可预测的模式
- 在要求唯一密码时避免意外重复使用
- 保护最终生成的副本
- 验证预期密码确实有效
- 避免在日志中不必要地暴露密码
密码的传递方式也应与文档敏感程度相匹配。对于风险较高的材料，应避免把密码与受保护 PDF 放在同一封邮件中。
权限限制只应作为辅助控制
某些 PDF 工作流程可以限制打印、复制或编辑。
这些设置可以支持组织的预期使用政策，但不应被当作绝对屏障。不同 PDF 应用对权限的执行方式可能不同，而且授权查看者仍可能通过其他方式获取屏幕上显示的信息。
在机密批量分发中，应把权限限制作为附加层，而不是主要保护手段。
为每个已发出副本添加追踪引用
追踪引用可以把单个 PDF 与受控分发记录连接起来。
代码本身不需要暴露收件人的全部信息。它可以只是一个唯一引用，用于映射回发送方系统中保存的相关数据。
分发记录可以包含：
- 收件人
- 电子邮件地址
- 源文档版本
- 已生成文件名
- 密码状态
- 水印状态
- 日期和时间
- 交付结果
当一次批处理生成大量副本时，这一点尤其有用。
使用收件人专属文件名
收件人专属文件名可以减少交付和验证过程中的混淆。
文件名可以包含安全的收件人标识、客户引用或内部记录编号。由于文件名可能出现在邮件系统、下载文件夹和日志中，应避免加入不必要的敏感信息。
主要目标是降低发送方把错误副本附加给错误收件人的风险。
将每个文件映射到正确的电子邮件地址
生成安全副本只是工作流程的一半。正确的文件还必须与正确的收件人匹配。
批量交付流程应保持以下项目之间的一对一关系：
- 收件人记录
- 已生成 PDF
- 目标电子邮件地址
- 交付状态
这种映射应是确定性的，而不是依赖逐个手动选择文件。
随着收件人数增加，手动添加附件的风险也会增加。
不要把所有收件人放在一封邮件里
对于机密分发，应避免把一个受保护文档附加到一封通过 To、CC 或 BCC 发给很多人的邮件中。
即使使用 BCC，也不能解决文件级责任追踪问题，因为除非为每位收件人分别生成消息和文件，否则所有人仍然会收到同一个附件。
更安全的批量流程会为每位收件人发送独立邮件，并附上对应的 PDF 副本。
发送前验证整个批次
开始交付之前，应检查已经生成的输出。
有用的检查包括：
- 预期收件人数
- 预期生成 PDF 数量
- 不存在重复输出文件名
- 每个水印中的收件人姓名正确
- 电子邮件与文件映射正确
- 需要时已应用密码保护
- 追踪引用正确
- PDF 可读且未损坏
- 外发集合中没有未受保护的主文件
对于重要分发任务，在放行整个批次之前，先人工抽查少量样本。
发送并记录每次交付结果
交付流程应记录每封邮件是否成功发送。
一份实用日志应能回答：
- 处理的是哪位收件人？
- 附加的是哪个 PDF？
- 使用的是哪个地址？
- 邮件何时发送？
- 发送是否成功？
- 是否需要重试？
如果某次发送失败，工作流程应允许只重试该收件人，而不必重新生成或重新发送所有已经成功的交付。
对于大型收件人列表，这一点尤其重要。
安全恢复被中断的批处理
长时间运行的批量任务可能因网络问题、应用关闭、身份验证失败或其他运行问题而中断。
一个健壮的工作流程应知道哪些收件人已经完成，哪些仍需要处理。
如果从头重新启动整个批次，可能造成重复邮件和混乱。恢复机制应从剩余收件人继续，同时保持原来的文件与收件人映射关系。
避免常见的批量分发错误
给所有人发送完全相同的副本
这会失去副本级责任追踪能力，并让后续归因更加困难。
使用一个共享密码
一个密码泄露就可能影响所有收件人。
手动匹配几十个文件和地址
手动匹配会增加把错误个性化副本发送给错误人员的风险。
在日志中以明文记录密码
操作日志不应暴露不必要的秘密信息。
未验证输出数量就发送
如果收件人数与生成文件数不同，应在交付前停止并调查原因。
重试时重新生成已经成功的收件人
一次交付失败不应导致已经完成的收件人自动收到重复邮件。
相同内容，不同分发身份
按收件人分发并不意味着文档主体内容必须不同。
| 元素 | 是否所有人相同？ | 是否可按收件人定制？ |
|---|---|---|
| PDF 主要内容 | 是 | 通常没必要 |
| 水印 | 可选 | 是 |
| 打开密码 | 可选 | 是 |
| 文件名 | 可选 | 是 |
| 追踪代码 | 无强制要求 | 是 |
| 交付邮件 | 否 | 是 |
| 交付记录 | 否 | 是 |
这个区别非常重要：一个源文档可以生成很多受控的分发成品。
XERIA 如何支持安全的多收件人分发
XERIA 面向这样的工作流程设计：一个源 PDF 需要被分发为多个收件人专属副本。
根据配置，XERIA 可以组合：
- 个性化可见水印
- 收件人姓名或电子邮件地址
- 密码保护
- PDF 权限限制
- 追踪代码
- 可选 QR 追踪
- 收件人专属文件名
- 批处理
- 映射电子邮件交付
- 交付日志
- 中断批次的恢复流程
这可以减少为每位收件人手动创建、重命名、保护和附加文件的需求。
关于邮件流程，请参阅 [使用 XERIA 通过电子邮件发送个性化 PDF](/resources/articles/send-personalized-pdfs-by-email-with-xeria/)。
什么时候安全链接可能更合适
基于文件的收件人副本适合每个人都需要一个可离线保存的独立 PDF 的情况。
如果您需要持续的集中访问控制、访问到期、远程撤销或仅限门户查看，那么安全链接或受管托管模式可能更加合适。
在风险较高的场景中，安全平台也可以交付收件人专属的受保护 PDF，从而把集中访问控制与文件级识别结合起来。
常见问题
可以把同一个 PDF 安全发送给很多人吗？
可以。使用一个已批准源 PDF，但为每位收件人生成单独的受保护或可识别输出。
每位收件人都需要不同密码吗？
不一定，但如果密码保护属于工作流程的一部分，那么唯一密码可以提供更好的隔离。
BCC 足以实现安全的 PDF 批量发送吗？
不够。BCC 只能隐藏收件人之间的电子邮件地址，但不会生成收件人专属附件，也不会提高副本级责任追踪能力。
每位收件人都应该使用个性化水印吗？
当收件人责任追踪或副本识别很重要时，应使用个性化水印。对于所有公开或低风险文档，并不是必需的。
如果一封邮件发送失败怎么办？
健壮的工作流程应记录失败，并允许只重试该收件人，而无需重新向已经成功的收件人发送。
同一个源 PDF 可以用于数百位收件人吗？
可以，只要批处理流程能够可靠地生成、映射、验证并交付对应的收件人专属副本。
结论
把同一个 PDF 安全发送给多个收件人的最佳方式，并不是反复发送一个完全相同的附件。
从一个已批准源文件开始，为每位收件人生成独立副本，应用所需密码、水印或追踪信息，将每个文件映射到正确目标，并在发送前验证整个批次。
对于高容量工作流程，自动化非常重要，因为手动创建文件和选择附件会增加收件人混淆的风险。
最终，文档内容可以保持一致，同时每个已发出的副本都是有意生成、可识别，并且与正确的收件人记录关联。