共享 PDF 总会意味着放弃一部分控制。一旦其他人能够打开、下载或保存文档，发送方就不能再假设之后产生的每个副本都会一直留在最初的交付渠道中。
因此，实际目标并不是让共享后的 PDF 完全无法复制，而是减少不必要的访问，在适当情况下保护文件，使分发副本可被识别，并保留足够证据，以便了解发送了什么、发送给了谁。
稳健的工作流程会组合多种控制，而不是依赖某一个设置。
“保持对共享 PDF 的控制”意味着什么？
根据文档和工作流程的不同，“控制”可以有不同含义。
对某个组织而言，控制可能意味着阻止未经授权的人打开文件。对另一个组织而言，可能意味着知道哪位收件人获得了某个特定副本。在托管环境中，控制还可能意味着以后能够让访问过期或撤销访问。
主要的控制目标包括：
- 限制谁可以打开文档
- 在适当情况下限制不必要的 PDF 操作
- 识别预期收件人
- 区分不同的已发出副本
- 减少随意转发
- 保留分发记录
- 在交付平台支持时撤销访问或让访问过期
这些目标需要不同的工具。
有关更广泛的概念，请参阅 [什么是安全文档分发？](/resources/articles/what-is-secure-document-distribution/)。
先决定您究竟需要控制什么
在选择安全功能之前，请先确定您希望降低的风险。
可以问自己：
- 主要风险是否是未经授权的打开？
- 授权访问后，文档是否仍然高度机密？
- 是否必须让每位收件人获得可识别的独立副本？
- 收件人是否需要能够离线保存 PDF？
- 以后是否可能需要撤销访问？
- 是否需要集中式访问日志？
- 是否允许收件人打印或复制内容？
- 文档在分发后是否还会更新？
这些答案将决定文件级保护、安全链接模式，还是两者结合更为合适。
当收件人需要 PDF 副本时使用文件级保护
如果收件人需要一个可在本地保存的普通 PDF 文件，那么在可能的情况下，保护措施也应随文件一起保留。
有用的文件级控制包括：
- 打开密码
- PDF 权限限制
- 可见的保密水印
- 收件人专属水印
- 追踪代码
- 收件人专属文件名
- 可选 QR 追踪
即使 PDF 离开最初的电子邮件或交付系统，这些控制仍然存在于分发后的 PDF 中。
不过，这些措施并不会建立对本地文件的远程控制。授权收件人一旦拥有 PDF 并能够打开它，发送方通常就无法远程让该下载副本消失。
使用加密来减少未经授权的打开
PDF 加密可以要求在显示文档内容之前输入打开密码。
当主要担忧是附件或下载文件可能被预期收件人以外的人访问时，这种方式很有用。
稳健的工作流程应当：
- 使用合适的密码
- 避免明显或容易猜测的值
- 保护最终发送出去的副本，而不仅仅是源文件
- 验证文件确实会要求输入预期密码
- 以适当方式传递密码
有关详细说明，请参阅 [什么是 PDF 访问控制？](/resources/articles/what-is-pdf-access-control/)。
加密保护的是查看之前的访问。它并不能识别后来是哪位授权收件人重新分发了副本。
添加收件人专属水印以增强责任追踪
当授权访问后的责任追踪很重要时，收件人专属水印可以把信息直接加入每个已发出的 PDF 中。
个性化水印可以包含：
- 收件人姓名
- 电子邮件地址
- 客户或账户引用
- 部门
- 分发日期
- 保密标签
- 追踪引用
如果同一个源 PDF 要发送给十个人，工作流程可以生成十个可区分的副本，而不是把同一个文件发送十次。
这无法阻止有意泄露信息的收件人，但可以抑制随意再次分发，并让之后识别已发出副本变得更容易。
使用追踪引用将副本与分发记录关联
追踪代码可以把一个已分发 PDF 与特定的发放事件或收件人记录关联起来。
可见或编码后的引用不必包含全部操作细节。相反，它可以指向一个受控记录，由该记录保存相关的分发信息。
例如，该记录可以标识：
- 收件人
- 电子邮件地址
- 生成的文件名
- 分发日期
- 交付方式
- 文档版本
- 处理结果
与直接把过多个人或操作信息嵌入 PDF 相比，这种方式可能更有用。
权限限制可以提供帮助，但要了解其边界
一些 PDF 安全工作流程允许限制打印、复制或编辑。
这些控制可以支持组织设定的预期使用政策，并减少兼容 PDF 软件中的误操作或日常操作。
不应把这些限制描述成绝对屏障。
不同 PDF 应用程序对权限的解释或执行方式可能不同，而且授权用户仍然可能通过其他方式获取屏幕上显示的信息。
应把权限限制作为其中一层，而不是高风险文档唯一的保护措施。
需要持续访问控制时选择安全链接
如果最重要的要求是共享之后仍然能够管理访问，那么与其给收件人一个独立文件，托管式安全链接模式可能更合适。
根据平台能力，安全链接可能支持：
- 身份验证
- 链接过期
- 用户级权限
- 撤销访问
- 下载限制
- 集中式访问日志
- 版本替换
关键区别在于安全边界位于哪里。
对于受保护的 PDF 附件，安全性主要随文件一起存在。对于安全链接，安全性主要控制对托管副本的访问。
如果平台允许收件人下载一个不受限制的本地文件，那么下载之后可能会失去一部分集中控制。
在高风险工作流程中结合安全链接和受保护 PDF
这两种方式并不相互排斥。
安全平台可以控制谁能够访问文档，同时 PDF 本身也可以包含文件级保护和收件人识别。
组合式工作流程可以使用：
- 对托管位置的身份验证访问
- 有时间限制的链接
- 受密码保护的 PDF
- 收件人专属可见水印
- 追踪代码
- 集中式访问日志
这样既建立了访问控制层，也建立了文件级责任追踪层。
合适的组合取决于文档敏感程度、收件人需求以及可以接受的使用摩擦程度。
避免把同一个敏感 PDF 原样发送给所有人
一种常见分发方式是创建一个机密 PDF，然后把完全相同的文件发送给每位收件人。
这种方式简单，但会降低责任追踪能力。
如果这个完全相同的文件出现在预期受众之外，发送方可能几乎没有信息可以判断涉及的是哪条分发路径。
按收件人生成独立副本，可以通过同一个源文档创建不同副本来改善这一点。
每个副本都可以在以下方面不同：
- 水印
- 密码
- 文件名
- 追踪代码
- 收件人引用
内容可以保持相同，而分发出去的文件本身变成收件人专属。
将源文件与分发副本分开保存
已批准的源 PDF 不应与用于外部交付的文件混在一起。
实用的工作流程会将以下内容分别保存：
- 原始文件或主文件
- 生成的受保护副本
- 收件人映射数据
- 交付记录
彼此分开。
这样可以降低误把未受保护主文件作为附件，而不是使用最终受保护输出的风险。
共享前验证最终 PDF
在最终输出经过检查之前，保护流程不能算完成。
分发前请验证：
- 文档版本正确
- 文件按预期打开
- 启用加密时密码有效
- 收件人专属水印正确
- 文件名与预期收件人一致
- 权限设置合适
- 追踪信息正确
- PDF 可读且未损坏
- 外发文件确实是受保护副本
对于大批量分发，这些检查应内置到工作流程中，而不是依靠非正式的人工确认。
保留足够证据以便重建分发过程
如果发送方之后能够回答有关分发事件的基本问题，安全共享会更容易管理。
有用的记录可以包括：
- PDF 是为谁准备的
- 使用了哪个文档版本
- 生成了哪个受保护输出
- 文件何时发送
- 使用了哪个交付渠道
- 发送操作是否成功
- 分配了哪个追踪引用
除非存在明确且合理的需求并采取了适当保护，否则应避免记录不必要的秘密信息，尤其不要以明文记录密码。
共享之后通常无法控制的事项
即使保护良好的 PDF，在合法访问之后也存在边界。
通常无法保证授权收件人永远不会：
- 截取屏幕截图
- 拍摄屏幕照片
- 手动重新录入信息
- 转发文件和密码
- 在允许打印时打印内容
- 创建信息的其他表现形式
因此，安全分发应围绕风险降低和责任追踪进行设计，而不是围绕绝对阻止。
信息泄露的后果越严重，就越需要把技术控制与政策、收件人验证以及合适的交付模式结合起来。
文件级控制与托管访问控制对比
| 要求 | 更合适的方式 |
|---|---|
| 收件人需要永久离线 PDF | 受保护 PDF 副本 |
| 需要限制未经授权的打开 | PDF 加密 |
| 每个已发出副本都应可识别 | 个性化水印或追踪代码 |
| 访问需要能够过期 | 安全链接 |
| 以后需要能够撤销访问 | 安全链接 |
| 集中式访问日志很重要 | 受管托管平台 |
| 文件下载后仍应可识别 | 受保护、个性化 PDF |
| 持续访问控制和副本责任追踪都很重要 | 结合两种模式 |
并不存在适用于所有文档的唯一最佳方案。
XERIA 如何帮助保持控制
XERIA 专注于文件级安全 PDF 分发。
它可以通过组合以下控制，生成收件人专属 PDF 副本：
- 可见水印
- 收件人专属文本
- 密码保护
- 权限限制
- 追踪代码
- 可选 QR 追踪
- 收件人专属文件名
- 映射的电子邮件交付
当收件人需要独立 PDF 文件，但发送方仍希望每个已发出副本都保持受保护且可识别时，这种方式很有用。
XERIA 不提供在 PDF 已交付并下载后远程撤销该文件的能力。如果需要持续的集中控制，则可能需要在文件级交付之外，或用安全链接、门户或受管托管层来替代文件级交付。
会削弱控制的常见错误
只依赖一个安全功能
单独使用密码不能提供收件人责任追踪。单独使用水印不能阻止未经授权的打开。
对所有收件人使用同一个副本
完全相同的文件会让之后的归因更困难。
把密码和附件一起发送
如果受保护 PDF 和密码同时泄露，分离带来的价值就会降低。
认为下载限制就意味着无法采集信息
即使只能通过浏览器访问，也无法保证授权查看者永远不会采集屏幕上显示的信息。
忘记最终验证
一个工作流程的实际强度，取决于真正离开组织的那个文件。
收集超出必要范围的个人数据
收件人识别应与目的相称。应使用足够的信息进行责任追踪，而不要向文档添加不必要的个人数据。
常见问题
共享之后，我还能完全控制 PDF 吗？
如果收件人获得并能够访问一个独立的本地副本，就不能。您可以通过加密、权限、水印和追踪信息降低风险，但普通 PDF 安全机制无法在授权访问之后提供绝对控制。
我能阻止共享 PDF 被转发吗？
不能完全阻止。文件可以被转发，安全链接也可能被分享。身份验证、加密以及收件人专属识别可以降低风险并增强责任追踪。
安全链接比发送 PDF 附件更好吗？
当持续访问控制、过期、撤销或集中日志是优先事项时，安全链接更合适。当收件人需要普通的离线 PDF 时，受保护附件通常更合适。
我能撤销受密码保护的 PDF 吗？
收件人下载文件后通常不能。远程撤销一般需要受控托管或安全链接模式。
PDF 下载后，水印还有帮助吗？
有。可见或个性化水印可以继续保留在下载后的 PDF 中，并在文件离开最初交付渠道后继续保留保密性或收件人信息。
共享高度机密 PDF 的最佳方式是什么？
使用与风险相匹配的分层控制：验证收件人、保护访问、识别已发出副本、必要时使用受控交付渠道、验证最终输出，并保留足够的分发证据。
结论
一旦授权收件人能够访问并保留信息，您就无法继续对 PDF 保持绝对控制，但可以避免不必要地失去控制。
在分发前保护文件；当责任追踪重要时使用收件人专属识别；需要持续访问管理时选择安全链接模式；并核对实际共享的确切文件。
对于风险更高的工作流程，不要依赖单一机制，而应把访问控制与文件级保护结合起来。
最稳健的实际策略是：先决定哪些内容必须继续受控，选择正确的安全边界，并确保每个分发副本都是经过有意识生成、受保护、可识别，并可追溯到适当分发记录的副本。