安全文档分发日志应能在不暴露保护秘密的情况下重建任务。日志应以足够细节标识任务、批准的输入、所选收件人、生成文件、应用的控制、交付结果和异常，以支持操作审查、事件响应和按政策保留。
分发日志为何重要
安全 PDF 分发审计应重建预期内容、生成结果、交付结果以及发生的异常。目标不只是确认处理已结束，而是以适当证据证明批准文档、收件人记录、个性化文件、安全设置和交付结果在整个任务中始终正确关联。
不要将进度条完成视为唯一验证。仍需将输出集合与收件人列表核对。
生成后，请核对：
- 输入文件数
- 所选收件人数
- 生成文件数
- 失败和跳过的记录
- 输出文件名
- 打开密码分配
- 所有者密码分配
- 权限配置
- 收件人水印
- 追踪代码
将经批准的主文档、最终输出集合和处理记录保存在适当的受保护位置。
1. 任务标识和时间
生成期间请监控：
- 收件人总数
- 当前项目
- 已完成项目
- 失败项目
- 跳过项目
- 输出位置
- 错误消息
不要将进度条完成视为唯一验证。仍需将输出集合与收件人列表核对。
生成后请比较：
- 所选收件人数
- 生成文件数
- 失败或跳过的记录
- 输出文件名
- 收件人水印
- 追踪代码
- 密码分配
- 权限配置
2. 来源和输出信息
- 一个经批准的源 PDF
- 应接收个性化副本的收件人
- 希望用于水印的收件人字段
- 具有足够可用空间的输出文件夹
- 所需的密码或权限政策
- 生成文件的命名规则
- 一小组测试收件人
请使用干净的主 PDF，并保持原始文件不变。生成文件应写入单独的输出位置。
应用个性化之前，请验证：
- 文档可以正确打开
- 选择了正确版本
- 所有页面都存在
- 页面方向正确
- 现有表单、签名或注释按预期工作
- 源文件不包含不需要的旧水印
- 文档未损坏
- 文件未被其他应用编辑
步骤 6：定义输出和命名规则
选择生成 PDF 的输出位置。
使用满足以下条件的文件名模式：
- 唯一
- 可预测
- 对文件系统安全
- 容易与收件人记录核对
- 不包含不必要的敏感数据
不要仅依赖收件人姓名，因为不同人员可能同名。
如果同名文件已经存在，请在启动完整批量任务前检查冲突处理方式。
3. 收件人与文件映射
步骤 5：检查收件人列表
生成文件之前，再次检查选定收件人。
确认：
- 已选择所需记录
- 未包含测试收件人
- 姓名拼写正确
- 电子邮件地址属于正确人员
- 必要时收件人代码唯一
- 必要时密码值存在
- 输出文件名不会冲突
- 所选权限配置正确
- 追踪值与目标收件人匹配
对于大型任务，请比较所选收件人数和预期输出文件数。
请从批量任务不同位置打开多个文件，而不仅是第一个。
对于较长 PDF，请检查第一页、中间页和最后一页。
生成后，请核对：
- 输入文件数
- 所选收件人数
- 生成文件数
- 失败和跳过的记录
- 输出文件名
- 打开密码分配
- 所有者密码分配
- 权限配置
- 收件人水印
- 追踪代码
4. 个性化和可追踪性
步骤 3：审计个性化和可追踪性
使用水印文字构建器定义每位收件人副本上显示的文字。
水印可以组合固定文字和收件人 占位符。
- `为 {NAME} 准备`
- `机密 — {NAME}`
- `{NAME} — {CODE}`
- `收件人：{NAME} — 追踪：{CODE}`
- `于 {DATE} 签发给 {NAME}`
请从界面选择可用 占位符，而不是凭记忆输入。
生成时，每个 占位符 会被替换为对应收件人记录中的值。
请使用一两个有意义的 占位符，不要用不必要的个人数据填满页面。
工作流需要识别副本时，请启用适当的可追踪选项。
这些选项可以包括：
- 可见追踪代码
- 收件人参考值
- 签发日期
- QR 追踪元素
- 收件人专属文件名
- 来源与输出映射记录
追踪代码应具有足够唯一性，以区分生成的副本。
QR 追踪元素是可选的。当工作流需要机器可读的追踪信息，且所选布局不遮挡文档内容时使用。
可见收件人信息和追踪代码有助于责任追踪，但不能阻止所有截屏、拍照或转发。
5. 不包含秘密值的安全信息
步骤 4：审计安全设置
个性化和访问保护处理不同风险。
担心未经授权打开、打印、复制或编辑时，请使用 PDF 安全选项。
根据所选工作流配置：
- 打开密码
- 所有者或权限密码
- 打印权限
- 复制权限
- 编辑权限
- 注释或表单权限
- 收件人专属密码值
密码和权限设置必须与正确收件人保持关联。
除非这是组织批准的政策，否则不要在普通日志中保存明文密码，也不要将密码与受保护附件放在同一消息中。
请使用预期收件人使用的 PDF 阅读器测试受保护输出。
6. 交付结果和证据
步骤 5：审计交付记录
从批量任务不同位置打开样本。 对于高风险批量任务，请在分发前验证每个收件人与文件、收件人与密码的对应关系。 不要在文件名中包含密码。
交付密码前：
- 验证收件人
- 确认目标地址
- 避免群组消息
- 避免公共或共享渠道
- 不要泄露所有者密码
- 不要在普通日志中保存明文密码
- 仅记录政策要求的操作证据
受保护文件通过检查后，请通过经批准的渠道分发。 根据政策记录成功交付、失败和重试。 邮件交付需要相应许可功能，试用模式下不可用。
- 确认收件人与文件映射
- 准备邮件模板
- 检查附件映射
- 需要时单独交付密码
- 发送经批准的文件
- 检查**邮件日志（Mail Log）**
受保护 PDF 和密码不应自动通过同一渠道传输。 适当方法取决于组织政策和文档敏感性。
- 单独的电子邮件
- 经过验证的电话或短信渠道
- 经过身份验证的门户
- 组织批准的密码管理器
- 事先约定的收件人专属方法
受保护文件通过检查后，请通过经批准的渠道分发。 根据政策记录成功交付、失败和重试。 邮件交付需要相应许可功能，试用模式下不可用。
7. 失败、重试和替换
步骤 6：检查失败、重试和替换
如果密码泄露，请将其视为已被破坏，并根据工作流生成替代文件或密码。
如果密码泄露，请将其视为已被破坏，并根据工作流生成替代文件或密码。 密码可以打开错误收件人的文件 立即停止分发。 检查收件人记录、导入行、输出文件名和密码映射。 更正数据后重新生成受影响文件。 自动生成的密码缺失 返回收件人记录并确认生成的密码已保存。 在能够可靠交付密码前，不要分发相关 PDF。 所有者密码被发送给收件人 将所有者密码视为已泄露。 检查受影响的安全配置，并在需要时使用新的经批准凭据重新生成文件。
- 收件人数与输出数不同
- 发生文件名冲突
- 测试收件人仍被选中
- 密码或追踪值属于其他记录
- 附件预览与收件人不匹配
- 源文档版本不确定
- 存在无法解释的交付映射
立即停止分发。 检查收件人记录、导入行、输出文件名和密码映射。 更正数据后重新生成受影响文件。
检查失败和跳过记录、输出冲突、无效源条件和可用磁盘空间。
不要发送批量邮件。先核对收件人记录、文件名和交付映射。
8. 审查、批准和保留
步骤 7：记录审计结果
将经批准的主文档、最终输出集合和处理记录保存在适当的受保护位置。
受保护文件通过检查后，请通过经批准的渠道分发。 根据政策记录成功交付、失败和重试。 邮件交付需要相应许可功能，试用模式下不可用。
最佳实践
- 保持经批准的源 PDF 不变。
- 在 XERIA 中维护收件人列表。
- 将 Excel 视为可选导入源。
- 验证所有必填收件人字段。
- 删除重复和测试记录。
- 使用有意义的收件人 占位符。
- 尽量减少水印中显示的个人数据。
- 在所有相关页面应用收件人识别信息。
- 需要识别副本时使用唯一追踪代码。
- 使用防冲突文件名。
- 根据风险应用密码和权限。
- 运行具有代表性的测试批次。
- 检查完整示例文件。
- 核对收件人和输出数量。
- 高风险文档在邮件发送前先生成并检查。
- 不在普通日志中保存明文密码。
- 保护收件人列表和生成文件。
- 邮件交付后检查邮件日志结果。
- 根据政策保留处理记录。
- 重新启动任务前更正映射错误。
日志不应包含什么
除非这是组织批准的政策，否则不要在普通日志中保存明文密码，也不要将密码与受保护附件放在同一消息中。
受保护 PDF 和密码不应自动通过同一渠道传输。 适当方法取决于组织政策和文档敏感性。
如果密码泄露，请将其视为已被破坏，并根据工作流生成替代文件或密码。
常见问题
日志应保存 PDF 密码吗？
除非这是组织批准的政策，否则不要在普通日志中保存明文密码，也不要将密码与受保护附件放在同一消息中。
成功状态是否足够？
进度完成表示处理结束，但不能证明每个密码和权限分配都正确。
日志应保留多久？
将经批准的主文档、最终输出集合和处理记录保存在适当的受保护位置。
结论
可靠流程很简单：准备准确的收件人数据、配置个性化、测试代表性记录、生成完整批次、验证每个映射，然后再分发文件。