把错误的 PDF 发送给错误的收件人，通常是数据映射失败，而不是点击附件按钮的失误。预防需要一条受控链路，将已批准的源文件、收件人记录、个性化输出、文件名和交付目的地连接起来。XERIA 支持这条链路，但操作人员仍必须在分发前验证各项关系。
核心控制点是收件人、文件与凭据之间的关系。受保护 PDF 如果交付给了错误的人，仍然属于安全事件；对于高风险任务，可能需要逐一验证每一组关系，而不是抽样检查。
核心原则
在个性化批处理中，生成加密文件之前，每位选定收件人都必须具备预期的打开密码。缺失值可能使生成停止；错位的行或错误映射则可能造成更严重的问题，例如用错误人员的凭据保护正确的文档。因此，处理成功本身并不能证明密码分配是安全的。
不要仅因为所有必填单元格都已填写就批准列表。姓名、电子邮件地址、收件人代码、密码和输出文件名仍必须指向同一个人。
进度显示为完成只能证明处理已经结束，并不能证明每一组凭据、权限或交付关系都正确。
为什么会出现错误附件
请检查：
- 空密码单元格
- 电子表格行错位
- 重复密码
- 开头或结尾存在空格
- 密码分配给了错误的收件人
- 无效的收件人记录
- 生产数据中残留测试密码
为打开密码选择一个有记录的来源。混用多个未记录的方法会使后续核对更加困难。
无论选择哪种方法，都应记录是谁提供或生成了这些值，并在生产前验证收件人与密码之间的关系。
开始之前
请准备：
- 已批准的源 PDF 或源文件夹
- 预期的输出位置
- 所需的安全模式
- 打开密码或收件人密码数据
- 需要时使用的所有者密码
- 权限配置文件
- 密码交付方式
- 一个或多个用于测试的 PDF 阅读器
- 具有代表性的测试文件或收件人
使用已批准的源 PDF、独立的输出位置以及不会暴露真实机密信息的测试记录。提前确定密码的分配与交付方式、适用的权限配置文件，以及谁有权审核最终映射关系。
步骤 1：准备收件人记录
对于每位选定收件人，请检查 **打开密码** 字段以及任何导入的密码列。如果使用 Excel，请将该列映射到正确的 XERIA 字段，并在把数据写入收件人数据库前检查示例行。
- 全名
- 电子邮件
- 公司 ID
- 所有者密码
- 权限配置文件
- 映射配置文件
- 空密码单元格
- 电子表格行错位
- 重复密码
- 开头或结尾存在空格
- 密码分配给了错误的收件人
- 无效的收件人记录
- 生产数据中残留测试密码
不要仅因为所有必填单元格都已填写就批准列表。姓名、电子邮件地址、收件人代码、密码和输出文件名仍必须指向同一个人。
步骤 2：使用一个受控的数据源
为打开密码选择一个有记录的来源。混用多个未记录的方法会使后续核对更加困难。
- 在 XERIA 内创建的收件人记录
- 映射到 **打开密码** 的导入 Excel 列
- 为缺少密码的收件人记录生成的密码
- 手动分配的值
无论选择哪种方法，都应记录是谁提供或生成了这些值，并在生产前验证收件人与密码之间的关系。
- 检查更新后的收件人记录
- 确认每位选定收件人都有密码
- 通过批准的流程导出或记录交付信息
- 保护密码数据
- 不要在普通处理日志中记录密码
自动生成可以解决缺失值问题，但不能解决交付或身份验证问题。请检查已保存的值，并确保每个值只发送给其预期收件人。
步骤 3：定义文件命名和输出规则
- 使用唯一的收件人代码或追踪值
- 避免仅基于人名的文件名
- 不要在文件名中包含敏感数据
- 将输出写入单独且已审核的文件夹
- 生产前定义文件名冲突和覆盖行为
核心控制点是收件人、文件与凭据之间的关系。受保护 PDF 如果交付给了错误的人，仍然属于安全事件；对于高风险任务，可能需要逐一验证每一组关系，而不是抽样检查。
步骤 4：运行代表性测试
在执行完整任务之前先生成一小组测试文件，并在具有代表性的收件人软件中打开受保护文件。
- 使用手动分配密码的收件人
- 使用自动生成密码的收件人
- 设置了权限配置文件的收件人
- 姓名较长的收件人
- 姓名使用非拉丁字符的收件人
- 包含表单或批注的文件
- 应允许打印的文件
- 应限制复制或编辑的文件
验证：
- 文件要求输入正确的打开密码
- 错误密码被拒绝
- 正确密码可以打开文件
- 水印和收件人身份信息正确
- 所有者密码未被暴露
- 打印行为符合预期
- 复制行为符合预期
- 编辑行为符合预期
- 表单和评论按预期工作
- PDF 保持可读且未损坏
如果兼容性很重要，请使用多个 PDF 阅读器进行测试。
不同 PDF 阅读器中的权限行为可能有所不同。请将这些设置视为辅助控制，并在收件人实际使用的应用中进行测试。
步骤 5：生成并核对输出集合
测试成功后，选择已批准的收件人并使用 **生成 PDF**。不要忽略缺少打开密码的警告；继续之前应修正记录或取消操作。
- 项目总数
- 当前项目
- 已完成项目
- 失败项目
- 已跳过项目
- 输出位置
- 安全相关警告
- 缺少密码警告
进度显示为完成只能证明处理已经结束，并不能证明每一组凭据、权限或交付关系都正确。
将计划的批处理与生成结果进行核对。
- 输入文件数量
- 已选收件人数量
- 生成文件数量
- 失败和跳过的记录
- 输出文件名
- 打开密码分配
- 所有者密码分配
- 权限配置文件
- 收件人水印
- 追踪码
步骤 6：验证收件人与文件的映射
从批处理的不同位置打开文件，并根据风险验证完整的收件人-文件及收件人-密码映射。切勿在文件名中暴露密码。
提供密码前，请验证身份和目的地。
- 验证收件人
- 确认目的地
- 避免群组消息
- 避免公共或共享渠道
- 不要暴露所有者密码
- 不要在普通日志中存储明文密码
- 仅记录策略要求的操作证据
步骤 7：发送前检查电子邮件附件
仅通过批准的渠道分发已审核文件，并记录成功交付、失败和重试。XERIA 电子邮件交付需要相应的许可功能，在试用模式下不可用。
- 确认收件人与文件匹配
- 准备电子邮件模板
- 检查附件映射
- 需要时将密码交付与文件交付分开
- 发送已批准文件
- 检查 **邮件日志**
不要自动通过同一渠道发送受保护 PDF 及其密码。请选择符合文档敏感度和组织策略的交付方式。
- 单独的电子邮件
- 已验证的电话或短信渠道
- 已认证的门户
- 组织批准的密码管理器
- 事先约定的收件人专属方式
步骤 8：分发并记录结果
仅通过批准的渠道分发已审核文件，并记录成功交付、失败和重试。XERIA 电子邮件交付需要相应的许可功能，在试用模式下不可用。
如果密码已经暴露或发送给了错误的人，应将其视为已泄露，并按照批准的替换流程处理。
已生成的 PDF 会保留创建该文件时所应用的安全配置。之后编辑收件人记录不会追溯修改现有 PDF。如果密码已经暴露、映射错误或无法可靠交付，请停止分发，修正记录，并使用批准的凭据重新生成受影响的文件。所有者密码暴露时也需要检查权限配置。
停止条件
- 收件人数量与输出数量不同
- 发生文件名冲突
- 测试收件人仍处于选中状态
- 密码或追踪值属于另一条记录
- 附件预览与收件人不匹配
- 源文档版本不确定
- 某项交付映射无法解释
常见问题
文件名正确，但 PDF 内容错误
停止分发，检查导入行、收件人记录、文件名和密码映射，然后重新生成所有受影响的输出。
数量一致，但映射错误
从批处理的不同位置打开文件，并根据风险验证完整的收件人-文件及收件人-密码映射。切勿在文件名中暴露密码。
常见问题
批处理成功后仍可能包含错误附件吗？
进度显示为完成只能证明处理已经结束，并不能证明每一组凭据、权限或交付关系都正确。
是否应审核每个生成的 PDF？
从批处理的不同位置打开文件，并根据风险验证完整的收件人-文件及收件人-密码映射。切勿在文件名中暴露密码。
如果发送了错误 PDF，应该怎么办？
停止分发，检查导入行、收件人记录、文件名和密码映射，然后重新生成所有受影响的输出。
如果密码已经暴露或发送给了错误的人，应将其视为已泄露，并按照批准的替换流程处理。
结论
为多个收件人管理密码，既是 PDF 安全任务，也是数据控制与分发任务。可靠的生产流程应结合准确的收件人记录、适当的加密、需要时分离的所有者凭据、代表性测试、精确核对以及更安全的密码交付。将 XERIA 的验证和生成功能作为这一文档化流程的一部分，并在验证每一组收件人、文件和凭据关系之前不要分发文件。