当一份机密 PDF 需要发送给他人时，常见的交付方式有两种：受保护的电子邮件附件和安全文档链接。两种方式都可能适用，但它们保护信息的方式不同。
安全 PDF 附件将保护重点放在文件本身。PDF 可以被加密、设置打开密码、限制权限、按收件人个性化，并加入追踪信息。安全链接通常将文档保留在受管理的在线环境中，并通过链接、账户或其他身份层来控制访问。
哪种方式更合适，取决于您需要控制什么：PDF 文件本身、对托管副本的访问，还是两者都要控制。
安全 PDF 附件与安全链接：核心区别
关键区别在于安全边界位于哪里。
对于受保护的 PDF 附件，安全措施会随文件一起传递。收件人获得一个真实的 PDF 文件，该文件在本地保存后仍可以保持加密、带水印或受权限限制。
对于安全链接，安全措施主要应用于对托管文档的访问。发送方或服务可以控制谁能打开链接、链接有效多久，以及是否可以在之后撤销访问。
这形成了两种不同的模式：
- **基于文件的安全：** 保护并识别 PDF 文件本身。
- **基于访问的安全：** 控制进入文档所在受管理位置的权限。
没有一种模式在所有场景下都绝对更好。
并列比较
| 比较因素 | 安全 PDF 邮件附件 | 安全链接 |
|---|---|---|
| 收件人是否获得文件 | 是 | 取决于下载策略 |
| 离线访问 | 通常很方便 | 取决于是否允许下载 |
| 密码保护 | 可直接内置于 PDF | 通常由托管服务处理 |
| 收件人专属水印 | 可保留在 PDF 中 | 取决于平台能力 |
| 访问到期 | 交付后通常无法再设置 | 通常可以设置 |
| 访问撤销 | 已下载文件通常无法撤销 | 只要访问仍受平台控制，通常可以撤销 |
| 标准 PDF 阅读器支持 | 通常支持 | 可能需要浏览器或门户访问 |
| 是否需要账户 | 通常不需要 | 可能需要 |
| 集中式访问日志 | 没有单独系统时较有限 | 在受管理平台上通常更完善 |
| 下载后的保护 | 文件级控制可继续保留在 PDF 中 | 取决于下载后的副本 |
因此，不能简单理解为“附件不安全，链接安全”。两种方式管理的是不同风险。
何时适合使用安全 PDF 邮件附件
当收件人需要一个普通 PDF 文件，而组织又希望保护措施能随文件保留时，受保护的附件通常很实用。
常见场景包括：
- 收件人需要在本地归档的报告
- 必须保持离线可用的文档
- 客户对账单或个性化通知
- 发送给指定收件人的培训材料
- 需要在标准 PDF 阅读器中打开的文件
- 使用门户账户会带来不必要操作负担的流程
- 需要可见或可追踪身份标识的收件人专属副本
受保护的附件可以组合 PDF 加密、打开密码、权限限制、可见保密水印、收件人专属信息、追踪码以及收件人专属文件名。
关于更完整的流程，请参阅[如何安全发送机密 PDF](/resources/articles/how-to-send-a-confidential-pdf-securely/)。
受保护 PDF 附件的优势
收件人使用方式熟悉
大多数收件人已经熟悉电子邮件附件。如果 PDF 使用标准保护功能，通常无需创建额外账户，就可以用常见 PDF 软件打开。
支持离线使用
文件收到并打开后，通常无需持续连接发送方的平台即可使用。
保护措施可随文件保留
密码、可见水印或追踪元素，即使 PDF 被保存到电子邮件系统之外，也可以继续作为文件的一部分保留。
便于生成收件人专属副本
发送方可以在保持同一源内容的同时，为每个收件人生成不同 PDF。姓名、电子邮件地址、密码、参考编号或追踪码都可以按收件人变化。
安全 PDF 附件的局限
交付后通常无法实际撤销
一旦收件人下载了 PDF，发送方通常无法通过普通 PDF 安全机制让本地文件消失，也无法远程将其禁用。
无法彻底阻止转发
邮件或附件仍可能被转发。加密和个性化水印可以降低风险并提升责任追踪能力，但不能绝对阻止转发。
密码传递需要谨慎
如果 PDF 已加密，应以适当方式传递密码。将密码和附件放在同一封邮件中发送，可能会削弱原本希望实现的分离效果。
集中式查看分析能力有限
普通 PDF 附件不会自动提供每次后续查看行为的详细记录。
何时适合使用安全链接
如果持续控制访问比给收件人一个独立文件更重要，安全链接通常更合适。
典型场景包括：
- 限时访问
- 之后可能需要撤销访问的文档
- 经常更新的文件
- 集中式文档存储库
- 要求经过身份验证的查看者的流程
- 需要详细访问日志的环境
文档保留在受管理的位置中，收件人被授予访问该位置的权限。
安全链接的优势
访问通常可以设置到期
许多受管理的共享系统允许链接或权限在指定时间后自动失效。
访问可以撤销
只要文档仍保留在受控平台内，发送方之后通常可以移除某个用户的访问权限。
集中式版本控制
托管文档可以直接更新或替换，而无需重新向每个收件人发送新的附件。
更完善的访问日志
受管理平台可以记录登录、访问尝试、查看活动或下载。具体日志粒度因服务而异。
安全链接的局限
链接仍然可以被分享
URL 和附件一样也可以被转发。安全性取决于另一个人拿到链接后会发生什么。仅靠“拥有 URL”即可访问的链接，控制力可能远弱于要求验证身份的链接。
收件人操作负担可能增加
登录要求、一次性验证码、门户账户或浏览器限制，都可能让访问变得更复杂。
下载后的副本可能改变安全模型
如果平台允许下载，发送方可能失去一部分集中控制。此时本地 PDF 的安全性将取决于文件本身包含了哪些保护。
平台可用性很重要
收件人可能依赖网络连接、浏览器兼容性以及托管服务的持续可用性。
哪种方式更适合防止未授权访问？
当安全链接结合身份验证、到期和撤销机制时，可以提供更强的持续访问管理能力。
受保护的附件则可以通过 PDF 加密和强密码限制未授权打开。
在合法访问之后，两者差异会更加明显。使用链接时，平台可以继续控制收件人之后是否还能再次访问文档。使用附件时，一旦授权收件人已经获得文件和密码，发送方通常无法撤销其本地副本。
哪种方式更适合实现收件人责任追踪？
收件人专属 PDF 附件可以提供可见的责任追踪，因为用于识别收件人的信息可以直接保留在文档中。
例如，每份副本可以包含：
- 收件人姓名
- 电子邮件地址
- 客户参考编号
- 分发日期
- 追踪码
安全链接平台则可以集中维护基于账户的身份信息和访问日志。一些系统还可以应用动态水印。
更强的方式取决于责任追踪应该随文件一起传递、集中保留在平台中，还是将两者结合。
哪种方式更适合防止转发？
两种方式都不能保证信息绝对无法被转发。
受保护的附件可以作为文件被转发。安全链接也可以被转发，除非访问要求进行与授权收件人身份绑定的验证。
即使链接访问受到限制，经过授权的查看者仍可能通过截图、拍照或其他方式获取信息。
现实的目标是减少未授权访问并提升责任追踪能力，而不是承诺完全杜绝转发。
实用决策框架
| 需求 | 更合适的方式 |
|---|---|
| 收件人需要永久离线文件 | 受保护的 PDF 附件 |
| 之后可能需要撤销访问 | 安全链接 |
| 每个收件人都应收到可识别的 PDF 副本 | 受保护的 PDF 附件 |
| 集中式查看和访问日志很重要 | 安全链接 |
| 不应要求门户账户 | 受保护的 PDF 附件 |
| 访问应自动到期 | 安全链接 |
| 希望集中管理的单一版本始终保持最新 | 安全链接 |
| 既需要访问控制，也需要文件级责任追踪 | 适当情况下将两者结合 |
在风险更高的流程中，混合方式可能很有价值。
可以把安全链接和受保护的 PDF 结合使用吗？
可以。
安全平台可以控制对 PDF 的访问，同时 PDF 文件本身也可以包含保护措施或收件人身份标识。
例如，组织可以：
- 要求通过身份验证后才能访问安全链接
- 托管一个受密码保护的 PDF
- 应用收件人专属可见水印
- 在 PDF 中加入追踪参考信息
- 在平台层面记录访问日志
这样可以同时形成访问控制层和文件级责任追踪层。
XERIA 的定位
XERIA 专注于基于文件的安全 PDF 分发。
它可以创建收件人专属 PDF，并加入可见水印、密码保护、权限限制、追踪码、可选 QR 追踪以及映射式电子邮件发送。
这种方式适合需要让收件人获得普通 PDF 文件，同时发送方又希望每份已发出的副本都受到保护并且可以识别的场景。
XERIA 不是虚拟数据室，也不提供对已经交付 PDF 的远程撤销。需要集中式查看权限、可过期链接或仅浏览器控制的组织，可能需要在基于文件的 PDF 保护之外，再使用安全链接或门户服务，或者以这些服务替代文件级保护。
关于这些选择背后的更广泛概念，请参阅[什么是安全文档分发？](/resources/articles/what-is-secure-document-distribution/)。
常见问题
安全链接是否始终比 PDF 附件更安全？
不是。安全链接可以提供更强的集中式访问控制，但其安全性取决于身份验证、共享设置、有效期和平台行为。如果文件级保护、离线访问或收件人专属识别更重要，受保护的 PDF 附件可能更合适。
通过电子邮件发送受密码保护的 PDF 安全吗？
如果使用强密码并通过适当方式传递，可以降低未授权打开的风险。但在收件人获得文件后，它并不能提供远程撤销能力。
安全链接可以阻止他人下载 PDF 吗？
有些服务可以限制下载，但具体能力因服务而异。即使只允许浏览器查看，也不能保证授权用户永远无法获取屏幕上显示的信息。
机密文档应该作为附件发送还是通过链接发送？
当收件人需要独立、受保护的 PDF 文件，并且希望访问过程尽量简单时，使用附件。若持续控制、到期、撤销或集中式访问日志更重要，则使用安全链接。
两种方式可以一起使用吗？
可以。受保护的 PDF 可以通过受控链接交付，从而将平台级访问控制、文件级保护和收件人责任追踪结合起来。
结论
安全 PDF 附件和安全链接解决的是不同的安全问题。
受保护的附件把安全措施放在 PDF 文件本身，适合离线访问、标准 PDF 阅读器以及收件人专属副本。安全链接则将更多控制保留在托管层，更适合访问到期、撤销、集中式访问管理以及频繁更新的文档。
正确选择取决于您的优先目标：控制交付后的文件、控制查看前和查看过程中的访问，还是将两种模式结合起来。