文档访问控制与文档可追踪性处理安全分发中的不同问题。访问控制关注谁可以打开、接收文档，或执行受支持的操作。可追踪性则关注保留能够把分发副本、交付事件或后续事件与收件人、工作流或记录关联起来的信息。
组织通常同时需要两者，但不应混淆。受密码保护的 PDF 可以限制未授权打开，却不一定告诉你后来是哪位授权收件人重新分发了副本。个性化水印或追踪记录可以帮助把泄漏副本与某位收件人关联起来，但并不一定能阻止对可见内容的复制、拍照或转发。
简要答案
当主要需求是限制未授权访问时，使用访问控制。这可以包括收件人授权、身份验证、PDF 打开密码、受控交付系统，以及限制受支持操作的权限设置。
当主要需求是在分发之后保留责任追踪能力时，使用可追踪性。这可以包括收件人专属水印、唯一标识符、追踪代码、与 QR 关联的标识符、分发日志，以及把某个副本或交付事件与特定收件人关联起来的记录。
什么是文档访问控制？
文档访问控制是用于决定谁可以获得或使用文档的一组规则和机制。在 PDF 工作流中，访问控制可以发生在交付之前、打开文件时，或受管理的平台内部。目标是减少未授权访问，并明确批准的受众范围。
关于 PDF 特定概念，请参阅[什么是 PDF 访问控制？](/resources/articles/what-is-pdf-access-control/)。当授权、身份、交付方式和技术执行彼此一致时，访问控制会更强，而不是只依赖单一密码或权限标志。
- 收件人批准或基于角色的授权
- 下载或交付前的身份验证
- PDF 打开密码保护
- 受控链接、门户或受管理存储库
- 对受支持操作的 PDF 权限设置
- 平台支持时的到期、撤销或会话控制
什么是文档可追踪性？
文档可追踪性，是把文档、副本、交付事件或后续事件与有用标识信息关联起来的能力。目标不一定是阻止访问，而是围绕分发建立证据、上下文或可见的责任追踪能力。
可追踪工作流可以记录谁收到了文件、何时生成、嵌入了哪个标识符、交付到哪里，或者泄漏副本上出现了哪些收件人专属标记。更广泛的概念请参阅[什么是文档可追踪性？](/resources/articles/what-is-document-traceability/)。
- 收件人专属姓名、邮箱地址、ID 或参考编号
- 唯一追踪代码或文档副本标识符
- 可见的个性化水印
- 承载或解析到追踪信息的 QR 码
- 生成和分发时间戳
- 保留收件人上下文的交付、生成或审计日志
访问控制与可追踪性：核心区别
最简单的区分方式，是看该控制的目的究竟是在访问之前或访问期间限制某种行为，还是在副本创建或分发之后保留关于发生了什么的责任和证据。
- 访问控制主要是预防性的；可追踪性主要面向证据和责任
- 访问控制决定谁可以打开或接收；可追踪性把副本或事件与收件人关联
- 访问控制可以减少未授权访问；可追踪性可以支持泄漏调查和威慑
- 访问控制通常依赖授权和技术执行；可追踪性依赖标识符、个性化和记录
- 文档可能具有强访问控制但弱可追踪性，也可能相反
- 敏感工作流通常适合把两者结合，而不是只选其中一个
只有访问控制、没有可追踪性会怎样？
你可以成功把文档限制在批准的收件人范围内，但对于哪一份授权副本后来离开了批准环境，可能缺少证据。例如所有收件人都拿到相同的加密 PDF 和相同可见内容，那么某人重新分发已解密或捕获的副本时，文件本身可能无法显示源头是哪位授权收件人。
这并不意味着访问控制无效。阻止未授权打开仍然很有价值。它只是说明预防和分发后的责任追踪是两类不同需求。如果泄漏调查很重要，就应增加收件人专属标识符或分发记录，而不是期待加密本身完成归因。
只有可追踪性、没有访问控制会怎样？
个性化 PDF 可以清楚标明预期收件人，但如果没有访问保护，未授权人员仍可能轻易打开。可追踪性可以威慑再分发，并帮助调查后续泄漏，但它本身并不会阻止未授权打开。
当文档本来就计划开放访问，但仍希望保留责任追踪时，这种做法可能合适。对于机密内容，可追踪性通常应补充访问保护，而不是替代它。
为什么访问控制与可追踪性结合效果更好
两者结合会形成分层分发模型。访问控制降低未批准人员获得或打开文档的可能性，可追踪性则提高授权收件人和分发副本的责任可追溯程度。如果某个副本后来出现在预期渠道之外，收件人专属标记和日志可以提供调查上下文。
例如，可以为每位收件人分别生成机密 PDF，用打开密码保护，添加包含收件人信息的可见水印，分配追踪标识符，再通过批准渠道交付。任何单一控制都不是绝对的，但组合起来可以覆盖分发生命周期中的更多环节。
实用的组合工作流
强健工作流会先定义授权，再创建收件人专属发布副本，应用政策要求的控制，记录分发事件，并在发送前验证目标地址。
- 对文档分类并定义授权受众
- 验证收件人或收件人列表
- 创建批准发布副本，并在必要时清理隐藏信息
- 根据敏感度和交付方式应用适当的访问保护
- 需要责任追踪时添加收件人专属水印或追踪标识符
- 需要区分不同收件人的归因时生成独立副本
- 记录生成、收件人、标识符和交付信息
- 使用批准的交付渠道并验证目标
- 按照政策要求的期限保留适当日志
常见的访问控制与可追踪性错误
当组织把一种控制当作会自动提供另一种控制的所有好处时，就容易出现问题。
- 误以为 PDF 加密可以识别是哪位授权收件人泄漏了副本
- 误以为个性化水印可以阻止未授权打开
- 需要个人责任追踪时仍给所有收件人使用相同密码
- 添加追踪 ID 却没有维护标识符与收件人的可靠映射
- 日志不完整、不一致，或保存时间超过政策允许范围
- 把 PDF 权限设置视为对截图、拍照或所有复制方式的绝对控制
- 在政策或法律要求透明时，添加标识符却不告知用户
两种方法的局限
一旦授权用户能够看到内容，访问控制和可追踪性都无法保证完全控制。截图、拍照、重新输入、第二设备或其他捕获方式都可能复制可见信息。PDF 权限也可能依赖阅读器支持，因此不应描述为普遍强制执行。
可追踪性还依赖标识符质量和映射记录的完整性。如果所有收件人拿到相同标记，归因能力就很弱。如果日志缺失或标识符被随意重复使用，调查也会变得不可靠。关于泄漏归因，请参阅[如何把泄漏的 PDF 追踪到收件人](/resources/articles/how-to-trace-a-leaked-pdf-back-to-a-recipient/)。
XERIA 如何支持这两个层面
XERIA 可以支持 PDF 密码保护和权限设置等访问控制措施，也可以支持收件人专属生成和受控交付工作流。这些控制有助于把既定分发政策应用到每一份 PDF 副本。
XERIA 还可以通过可见的个性化水印、追踪代码、可选的 QR 追踪信息、收件人专属生成和分发记录支持可追踪性。这些功能应被描述为责任追踪和归因辅助，而不是保证授权访问之后文档无法被复制、捕获或重新分发。
常见问题
文档可追踪性属于访问控制吗？
通常不属于。可追踪性可以支持治理和威慑，但主要目的是保留收件人、副本或事件上下文。访问控制则是为了限制谁可以访问或使用文档。
访问控制可以防止文档泄漏吗？
它可以减少未授权访问和意外暴露，但无法保证授权查看者永远不会捕获或重新分发可见信息。强健工作流会把访问控制与收件人责任、安全交付和事件响应结合起来。
水印可以识别是谁泄漏了 PDF 吗？
如果收件人专属水印或追踪标识符具有唯一性，并且与收件人可靠映射，就可以提供有用的归因证据。但它本身不应被视为绝对证明，应结合其他记录判断。
机密 PDF 应该同时使用访问控制和可追踪性吗？
很多情况下是的，特别是未授权访问和分发后泄漏都是重要风险时。具体控制应根据文档敏感度、收件人环境、政策和法律要求决定，而不是对所有文件完全相同。
结论
文档访问控制与文档可追踪性解决不同的安全问题。访问控制限制谁可以接收或打开文档；可追踪性保留关于收件人、副本和分发事件的责任上下文。两者不能互相替代。对于敏感分发，更强的方法是先授权收件人、保护访问、在有价值时个性化或标识副本、保留适当记录，并验证交付，让预防和责任追踪共同发挥作用。