当授权收件人已经能够访问信息后，您无法完全阻止他们继续转发这些信息，但可以让失控的再次分发更困难，减少随意分享，并提高责任追踪能力。
正确的方法取决于您真正想防止什么。阻止未经授权的打开、抑制转发、识别收件人，以及在未来撤销访问权限，是不同的安全目标，需要不同的控制措施。
对于机密 PDF，最强的实际策略通常是采用分层工作流程，而不是依赖一个“禁止转发”设置。
为什么很难完全阻止机密 PDF 被转发
PDF 是一个文件。一旦收件人拥有本地副本并且能够打开它，通常就可以把该文件附加到另一封邮件中、复制到另一个文件夹，或上传到其他位置。
即使已经设置了转发威慑，收件人仍可能：
- 转发文件本身
- 分享密码
- 把 PDF 上传到其他服务
- 打印文档
- 截取屏幕截图
- 拍摄屏幕照片
- 手动重新整理部分内容
首先确定您真正需要控制什么
不同风险需要不同的控制措施。
请考虑：
- 是否必须确保未经授权的人无法打开 PDF？
- 是否需要抑制收件人转发文件？
- 是否需要识别泄露副本最初属于哪位收件人？
- 是否需要在某个日期后让访问权限失效？
- 是否需要之后能够撤销访问权限？
- 是否允许收件人保留离线副本？
- 是否需要集中式访问日志？
这些答案会决定更适合采用文件级 PDF 保护、安全链接模式，还是两者结合。
使用加密降低未经授权打开的风险
如果主要担心转发后的文件会被其他人打开，应使用带打开密码的 PDF 加密。
加密并不能阻止转发动作本身。它限制的是文件被转发后还能被谁打开。
更强的流程应包括：
- 不容易猜测的密码
- 受保护的最终输出文件
- 验证密码确实有效
- 在适当情况下通过独立方式传递密码
- 需要更强隔离时，为不同收件人使用不同密码
如果所有收件人使用同一个密码，那么把密码与文件一起转发会削弱保护效果。
更完整的说明请参阅 [如何保护机密 PDF 文档](/resources/articles/how-to-protect-confidential-pdf-documents/)。
使用收件人专属水印抑制分享
个性化水印可以把收件人信息直接放在 PDF 上。
常见字段包括：
- 收件人姓名
- 电子邮件地址
- 客户或账户引用
- 保密提示
- 分发日期
- 追踪代码
当收件人在文档中看到自己的身份信息时，因为副本明显与本人关联，随意转发的意愿可能会降低。
这是一种威慑和责任追踪控制，并不会从技术上阻止转发。
使用追踪代码把文件关联到记录
追踪代码可以把某个已发出的 PDF 与受控的分发记录关联起来。
根据工作流程，代码可以是可见的，也可以嵌入水印中，或者通过 QR 元素表示。
对应记录可以包括：
- 收件人
- 电子邮件地址
- 文档版本
- 已生成文件名
- 分发日期
- 交付方式
如果某个副本之后出现在预期受众之外，追踪引用可以帮助判断涉及的是哪一个已发出的文件。
权限限制可以提供帮助，但不要只依赖它
PDF 权限可以在兼容的应用程序中限制打印、复制或编辑。
这些控制可以减少日常操作，并强化组织的文档处理政策。
但权限限制并不等同于强访问控制。不同 PDF 阅读器可能采用不同的执行方式，而且这些限制无法阻止所有内容获取方式。
应把权限限制当作附加层，而不是防止再次分发的主要手段。
发送收件人专属副本，而不是一个共享文件
如果同一个机密 PDF 要发送给多个收件人，应避免所有人都收到完全相同的副本。
即使主要文档内容相同，也应为每位收件人生成独立副本。
每个副本都可以有自己的：
- 水印
- 密码
- 文件名
- 追踪代码
- 交付记录
这样可以提高隔离性，并让后续归因更容易。
避免在同一封邮件中发送密码
如果密码保护 PDF 的密码直接写在附件所在的同一封邮件中，那么保护效果会非常有限。
如果转发这封邮件就同时暴露文件和密码，原本想实现的隔离也就失去了意义。
根据文档的敏感程度，密码可以通过以下方式传递：
- 电话
- 独立的消息渠道
- 预先约定的密码规则
- 经过身份验证的门户
- 独立的受控流程
当撤销访问很重要时使用安全链接
如果需要在分发后停止未来访问，托管式安全链接可能比普通 PDF 附件更合适。
根据平台能力，安全链接可能支持：
- 身份验证
- 到期时间
- 访问撤销
- 用户专属权限
- 下载限制
- 集中式访问日志
关键区别在于，控制仍保留在托管层。
如果收件人下载了不受限制的本地副本，一部分集中控制能力可能会丢失。
高风险场景下结合安全链接和受保护 PDF
文件保护与托管访问控制可以结合使用。
高风险工作流程可以包括：
- 对安全位置的身份验证访问
- 有时限的链接
- 密码保护 PDF
- 收件人专属水印
- 追踪代码
- 集中式访问日志
这样就形成一层用于控制托管文件访问，另一层用于识别分发出去的 PDF 本身。
将未受保护的源文件单独保存
最容易避免的错误之一，就是发送了未受保护的原始 PDF，而不是准备用于分发的受保护副本。
请将主文件与生成的输出文件分开保存。
发送前请检查：
- 收件人正确
- 输出文件名正确
- 水印正确
- 密码保护正确
- 追踪引用正确
- 附件正确
BCC 呢？
BCC 可以让收件人看不到彼此的电子邮件地址，但并不能阻止他们转发附加的 PDF。
如果所有人收到的仍然是同一个附件，BCC 也不会产生收件人专属副本。
对于机密批量分发，更好的方式是为每位收件人发送独立邮件，并附上该收件人自己的受保护副本。
哪些控制措施最有效？
| 风险 | 有效控制 |
|---|---|
| 未经授权打开 | PDF 加密和打开密码 |
| 随意转发 | 可见的收件人专属水印 |
| 副本识别 | 个性化水印或追踪代码 |
| 打印或复制 | PDF 权限限制 |
| 未来撤销访问 | 安全链接或受管门户 |
| 集中式访问日志 | 受管托管平台 |
| 收件人专属责任追踪 | 为每位收件人单独生成副本 |
最强的工作流程通常是组合真正符合实际风险的控制措施。
XERIA 如何帮助降低转发风险
XERIA 专注于基于文件的安全 PDF 分发。
它可以通过以下组合生成收件人专属副本：
- 可见水印
- 收件人姓名或电子邮件地址
- 密码保护
- PDF 权限限制
- 追踪代码
- 可选 QR 追踪
- 收件人专属文件名
- 映射的电子邮件交付
当收件人需要普通 PDF 文件，而发送方仍希望每个分发副本保持可识别时，这种方式很有用。
XERIA 并不声称能让转发在技术上完全不可能。它的作用是提高基于文件分发过程中的保护、威慑和责任追踪能力。
有关更广泛的访问控制模型，请参阅 [什么是 PDF 访问控制？](/resources/articles/what-is-pdf-access-control/)。
常见错误
只依赖“机密”标签
通用标签可以传达处理要求，但无法识别具体收件人。
所有人使用一个共享密码
一旦一个密码泄露，所有副本都可能受到影响。
认为权限限制无法被绕过
这些是有用的控制，但不应被描述为绝对防护。
把完全相同的文件发送给很多人
这会降低副本级责任追踪能力。
忘记最终验证
实际发出的文件，比原本计划使用的设置更重要。
常见问题
能否完全阻止别人转发 PDF？
如果对方拥有一个被授权访问的本地副本，就无法完全阻止。可以降低转发的价值、进行威慑并增强责任追踪，但普通 PDF 安全机制无法保证绝对防止。
密码能阻止转发吗？
密码不能阻止转发。它可以阻止不知道密码的人打开被转发的副本。
水印能阻止分享吗？
从技术上说不能。收件人专属水印可以抑制分享，并识别已发出的副本。
PDF 发送后还能撤销吗？
在收件人已经下载普通 PDF 后，通常不能。远程撤销通常需要安全链接或受管托管模式。
BCC 足以保护机密 PDF 吗？
不够。BCC 只会隐藏收件人地址，并不会保护附件本身，也无法阻止转发。
最佳实际方法是什么？
使用分层控制：保护访问、识别收件人、在需要时生成独立副本、选择受控交付方式，并验证最终发出的文件。
结论
您无法保证授权收件人绝不会转发或复制机密 PDF，但可以显著降低风险。
使用加密限制未经授权的打开，使用收件人专属水印和追踪代码提高责任追踪，为不同收件人生成独立副本，并在未来撤销访问非常重要时使用安全链接。
目标不是承诺不可能实现的绝对控制，而是让每一个分发副本都更加有意、更加可识别，并且更难在不留下证据的情况下被滥用。