PDF 加密与分享：权限、所有者密码与真实边界

用户密码用于打开文件。所有者密码用于更改打印或编辑等权限。许多普通接收者只打开阅读，从不会看到所有者密码提示。若机密性重要，你需要用户密码或加密容器，而不是仅在礼貌阅读器里阻止编辑的所有者密码。

禁止打印或复制的标志被部分阅读器遵守，也被另一些工具忽略，尤其是恢复或无障碍类工具。把权限当作对普通办公软件的轻度威慑，而不是对坚定接收者的保证。更强控制应把敏感版本放在可撤销访问的系统里。

较旧的 PDF 加密以现代标准看很弱。较新的 AES 加密更强，但可能无法在老旧阅读器中打开。选择受众打得开的最强设置，并在发送一次性机密文件前用他们实际使用的阅读器测试。

数字签名证明谁签了名以及签名后字节是否被改。它不等于密码。已签名的 PDF 仍可能被任何人阅读。用签名保证真实性和完整性；用密码或安全通道保证机密性。

在文字上画黑框常常仍可选取或恢复底层文字。真正的密文会从文件中删除内容。若需永久隐藏文字，使用会删除内容的密文工具，再通过选取和搜索检查输出。

作者名、软件标题、修订历史和嵌入附件可能在你给可见页面加密码后仍然保留。对外部各方，尤其是法务和人事场景，应清理元数据。

先判断威胁是随意转发还是有动机的攻击者。随意场景下，用户密码加清晰权限可能够用。有动机场景下，使用带访问日志和过期的安全文件分享系统。密码务必与文件分通道发送。

人们常在只需要其中一种属性时要求签名且加密的 PDF。若目标是证明文件未被改动且来自你，就签名。若目标是阻止陌生人在传输或收件箱中阅读，就加密或走安全通道。不理解任一者就捆绑两者，会产生看起来完整却仍泄露或仍无法证明作者身份的设置。

（中文扩写）A passworded PDF emailed to ten people cannot be unshared without rotating the password and hoping old copies are deleted. When documents may need revocation, use a file-share link with expiry and access logs, or a document system that can invalidate sessions. Passwords are for simple confidentiality, not for lifecycle control after the file has left your outbox.

（中文扩写）A single shared password for all customer PDFs means any leak opens every document. Prefer unique passwords per recipient or per document family, delivered on a second channel. Password managers make this practical for teams. Reused passwords turn one accidental forward into a portfolio-wide incident.

（中文扩写）A passworded PDF still loses confidentiality when someone photographs a screen or pastes a page into chat. Technical controls cannot fully stop that. For highly sensitive material, combine short access windows, watermarking with recipient identity, and clear handling rules. Watermarks do not stop capture, but they deter casual redistribution and help trace leaks.