PDF 打开密码和权限密码解决不同的安全问题。打开密码用于阻止未授权人员查看加密 PDF；权限密码通常也称为所有者密码，用于保护安全设置以及打印、复制、编辑或页面提取等限制。
这种区别很重要，因为 PDF 可以在不要求密码的情况下打开但仍包含权限限制，而要求打开密码的 PDF 也可以同时应用这些限制。企业应根据风险选择控制，而不是把所有 PDF 密码视为同一种功能。
简要答案
如果核心问题是“这个人是否应该能够打开并阅读文件”，使用打开密码。兼容阅读器收到有效凭据之前，PDF 保持加密状态。
如果核心问题是“PDF 打开后允许哪些受支持操作”，使用权限密码。很多工作流会同时使用两者。
打开密码、用户密码、权限密码与所有者密码
PDF 软件会使用不同名称。**打开密码**通常称为**用户密码**，**权限密码**通常称为**所有者密码**。比名称更重要的是实际功能。
用户/打开密码通常由普通收件人输入以查看文档。所有者/权限密码通常由文档所有者或授权人员用于设置、修改、移除或覆盖权限限制。
PDF 打开密码有什么作用？
它保护加密文档的访问。如果文件被截获、转发、从邮箱复制或在存储设备上被发现，没有正确密码的人通常无法使用兼容软件正常查看受保护内容。
如果目标是在查看之前保护机密性，这是两种控制中更重要的安全边界。加密原理请参阅[什么是 PDF 加密？](/resources/articles/what-is-pdf-encryption/)。
- 查看 PDF 前要求凭据
- 保护加密文件免受普通未授权打开
- 应使用强且难以预测的密码
- 密码需要妥善传递和保存
- 不能阻止已授权用户捕获屏幕上可见的信息
PDF 权限密码有什么作用？
它保护文档的权限配置。PDF 可以指示兼容软件是否允许打印、复制文本、编辑、添加批注、组合页面或提取内容。
如果未设置打开密码，收件人可以不输入密码直接打开文件，但仍可能受到权限限制。这些控制适合执行使用规则，但与访问加密的安全功能不同。
- 保护权限和安全配置
- 可配合打印、复制、编辑或提取限制
- 即使 PDF 打开时不要求密码也可以存在
- 授权所有者可用它修改或移除限制
- 依赖 PDF 软件遵守配置的权限
打开密码与权限密码的关键区别
最简单的比较方式是看每个控制在工作流的哪个阶段发挥作用。
- 打开密码：控制文档能否被打开和查看
- 权限密码：保护打开后受支持操作的设置
- 打开密码：主要针对加密内容的未授权访问
- 权限密码：主要针对使用规则和安全配置
- 打开密码：通常作为访问凭据提供给收件人
- 权限密码：通常由所有者、管理员或文档生成流程保留
只使用打开密码会怎样？
PDF 在查看前要求密码，但如果没有额外权限限制，打开后可能允许正常操作。若业务需求只是防止未授权打开，这种方式可能合适。
例如通过邮件发送机密报告时，可以用打开密码降低邮箱泄露或转发风险，同时允许合法收件人打印或复制用于工作。
只使用权限密码会怎样？
PDF 可以在不要求收件人输入密码的情况下打开，同时在兼容阅读器中限制打印或复制。这种情况下，收件人输入的打开密码并不是访问屏障。
对于低风险内容，这可以减少使用摩擦并表达预期使用规则。但如果主要风险是未授权查看本身，则不应依赖这种配置。
同时使用两者会怎样？
会形成目的不同的两层控制。收件人首先输入打开密码访问加密 PDF，之后权限设置可限制打印、复制等受支持操作。
对于既需要访问保护又需要处理规则的机密业务文档，这通常是合适的文件级配置，但它并不等于对屏幕上已显示信息的完整 DRM 控制。
为什么权限密码也叫所有者密码？
**所有者密码**这一名称反映了文档所有者对安全设置的管理权限。在许多 PDF 实现中，用所有者密码认证可以获得完整权限或进行普通用户密码无法授权的更改。
它不一定是普通收件人在打开文档后还要再输入的第二个密码。更准确的理解是用于权限管理的管理员安全凭据。
哪种密码的安全性更强？
两者不能当作可互换控制来排名。如果目标是防止未授权人员读取加密内容，打开密码才是相关的安全边界。权限密码保护的是另一种功能。
权限可以在兼容软件中阻止或增加普通操作的难度，但截图、拍照、重新输入或不执行全部限制的软件仍可能存在。
实用的密码工作流
先确定主要风险是未授权打开、打开后的操作，还是两者。然后配置相应控制，并实际验证最终 PDF。
- 需要限制未授权查看时使用打开密码
- 仅在支持明确处理政策时添加权限限制
- 同时需要两类密码时使用强且分离的凭据
- 在代表性的 PDF 阅读器中验证受保护输出
- 不要把密码放在文件名或普通日志中
- 适当时通过与 PDF 不同的渠道传递打开密码
常见密码与权限错误
- 误以为权限密码可以阻止未授权打开
- 使用打开密码却忽略打印或复制可能仍被允许
- 未评估风险就把 PDF 和打开密码一起发送
- 在多个收件人之间重复使用可预测密码
- 把“禁止复制”或“禁止打印”当成绝对防止
- 分发前不测试最终文件
密码保护工作流的实际安全性取决于配置和操作方式。邮件、密码传递、收件人验证、源文件控制和最终检查都会影响结果。
XERIA 中的 Open Password 与 Owner Password
XERIA 使用 **Open Password** 和 **Owner Password** 术语。Open Password 可要求查看前提供凭据；Owner Password 支持权限相关的安全设置。实际流程请参阅[在 XERIA 中使用密码保护 PDF](/resources/articles/protect-pdfs-with-passwords-in-xeria/)。
通过邮件分发时，应在添加附件前先保护并验证 PDF。[发送邮件前如何用密码保护 PDF](/resources/articles/how-to-password-protect-a-pdf-before-emailing-it/)说明了密码选择和交付流程。
应该选择哪一种？
根据安全目标选择，而不是根据哪个名称听起来更强。
- 未授权查看是重要风险时使用打开密码
- 需要保护或管理权限设置时使用权限密码
- 同时需要机密访问和打开后限制时使用两者
- 文档不值得增加使用摩擦时两者都不用
- 需要持续撤销或更强下载后控制时考虑受管理门户、DRM 或其他访问平台
常见问题
PDF 打开密码和用户密码是同一个概念吗？
通常是。很多 PDF 工具把打开加密 PDF 所需的凭据称为**用户密码**。
权限密码和所有者密码是同一个概念吗？
通常是。它与权限设置和所有者级控制相关，不同应用的名称可能不同。
PDF 可以只有权限密码而没有打开密码吗？
可以。PDF 可以不要求密码就打开，同时仍包含由所有者/权限密码保护的限制。但这并不提供与打开密码相同的未授权查看保护。
打开密码和所有者密码应该相同吗？
它们承担不同角色，因此同时需要时使用不同凭据通常更清晰。密码策略应根据文档敏感度、操作需求和所用 PDF 软件制定。
结论
打开密码和权限密码是互补控制。打开密码保护对加密内容的访问；权限/所有者密码保护权限相关的安全设置。应根据风险分别使用，需要两层时组合使用，并且在信息已经显示后不要把权限限制视为绝对保护。