您想要与两组人共享 PDF。 A 组应该能够查看、打印和复制文本。 B 组应该只能查看。您设置两个不同的密码并将文件发送到两个组，期望 PDF 根据输入的密码强制执行不同的权限。然后您发现 PDF 规范仅支持每个文件一个权限密码。任何使用权限密码打开文档的人都会获得相同的权限集，无论他们是谁。
PDF密码架构专为与单个受众共享文档的更简单时代而设计。双密码模式，一开放密码用于查看，一权限密码用于编辑，不支持基于角色的访问控制，不同用户具有不同的权限级别。了解此限制有助于您为需要差异化访问的文档选择正确的安全方法。
单一权限密码限制
PDF 文件仅包含一组权限标志：允许或不允许打印、允许或不允许复制文本、允许或不允许编辑等等。这些标志由单个权限密码解锁。 PDF规范中没有用于存储多个权限集或多个权限密码的机制。该架构是一个密码、一组权限，统一应用于输入该密码的每个人。
此限制自版本 1.1 以来一直是 PDF 规范的一部分，并且在 PDF 2.0 中没有更改。标准委员会考虑添加基于角色的权限，但得出的结论是，如果用户需求不足，这会显着增加 PDF 阅读器的复杂性。假设应该在文件分发级别而不是文件安全级别管理差异化访问。
PDF安全模型旨在保护文档在传输和存储过程中免遭未经授权的访问和修改。它并不是为了用用户级访问控制来取代文档管理系统。认识到这种区别有助于对 PDF 密码可以做什么和不能做什么设定现实的期望。
差异化访问的解决方法
最实用的解决方法是创建具有不同权限设置的两个版本的 PDF，并将每个版本分发到适当的组。 A 组的版本具有丰富的权限，允许打印和复制。 B 组版本具有限制性权限，仅允许查看。通过设置不同的权限密码并另存为单独的文件，可以在几秒钟内从同一源 PDF 创建两个版本。
WukongPDF 允许您通过浏览器应用PDF 加密 和密码设置。为了实现差异化访问，请创建一个具有适合每个受众的权限的版本。清楚地命名文件以表明哪个版本适合哪个受众，例如 Report_FullAccess.pdf 和 Report_ViewOnly.pdf。
更复杂的方法使用文档管理系统或安全文件共享平台，在访问层而不是文件层强制执行用户级权限。 PDF本身没有权限密码。平台根据经过身份验证的身份控制谁可以查看、下载、打印或编辑文件。这种方法提供了 PDF 规范所缺乏的差异化访问。
当多个版本是正确的方法时
创建具有不同权限的多个版本非常适合重复分发场景。每月向具有完全访问权限的高管和具有只读访问权限的部门负责人分发的月度财务报告遵循相同的模式。创建两个版本一次，将权限设置保存为预设，并每月应用它们。持续的努力是最小的。
多个版本还提供了明确的审计区别。如果文档的仅供查看版本出现在不应出现的位置，您可以跟踪哪个通讯组收到了该版本。对于由与多个组共享的单个权限密码保护的单个文件来说，这种可追溯性更难实现。
对于创建多个版本感觉有点过头的一次性发行版，请考虑权限区别是否真的很重要。如果两个小组都是内部同事，无论如何都可以口头共享信息，那么正式权限的差异可能不如单个文件的便利性重要。
向收件人传达许可期望
当分发具有不同权限的多个版本的 PDF 时，请清楚地向收件人传达他们正在接收哪个版本以及原因。一条简短的说明解释了该文档有两个版本，一个具有完全访问权限，一个具有仅查看访问权限，并且他们正在收到适合其角色的版本，以防止混淆和请求另一个版本。
如果仅查看组中的收件人请求完全访问版本，请制定评估和批准这些请求的流程。权限的区别应该反映真正的业务需求，而不是任意的分类。能够证明对完全访问权限有合法需求的接收者应通过既定的审批流程接收该权限。
一些安全文档平台通过将 PDF 包装在提供用户级访问控制的层中来解决差异化访问问题。 PDF 本身没有密码。该平台对每个用户进行身份验证，并提供具有适合该用户角色的权限的 PDF 版本。这种方法比 PDF 内置密码模型更灵活。
Microsoft 和其他供应商的信息权限管理 (IRM) 系统提供了另一层保护。受 IRM 保护的文档根据用户经过身份验证的身份（而不是共享密码）强制执行权限。这些权限可以包括查看、打印、复制和转发限制，并且可以在分发文档后撤销这些权限。
在多个 PDF 版本和基于平台的方法之间进行选择时，请考虑收件人的技术环境。多个 PDF 版本适用于任何拥有任何 PDF 阅读器的收件人。基于平台的方法要求接收者能够访问该平台。对于可能没有所需平台访问权限的外部收件人来说，多个 PDF 版本更具普遍兼容性。
将权限策略记录为文档分发记录的一部分。请注意哪个版本发送给了哪个收件人、每个版本具有哪些权限以及分发日期。本文档支持审核要求，并在出现有关谁有权访问哪个版本的问题时提供参考。
PDF 中的权限密码在密码学意义上并不是秘密。它可以通过许多免费工具删除。权限密码是一个减速带，而不是安全屏障。它可以防止随意修改，但不会阻止确定的接收者删除限制。设置权限时应清楚地了解此限制。
对于需要强有力保证收件人无法修改或复制文档的外部共享，数字签名与权限密码相结合提供了更强大的解决方案。数字签名检测任何修改，权限密码不方便随意修改。组合比单独使用任何一种方法都更有效。
创建具有不同权限的多个版本时，为每个版本添加水印以指示其权限级别。带有“仅查看”水印的版本使收件人清楚他们收到的是哪个版本，并减少了对完全访问版本的请求。
文档分发日志应记录哪个版本发送给哪个收件人。如果仅供查看的版本泄漏，分发日志会识别哪些收件人有权访问该版本。这种可追溯性支持事件响应并展示尽职调查。
对于高度敏感的文档，请考虑 PDF 权限是否提供足够的保护。确定的接收者可以使用免费工具从 PDF 中删除权限密码。如果文档内容确实敏感，请将其分发给受合同或法律约束的收件人。
PDF 权限模型最适合简单的场景：文档要么受限制，要么不受限制。对于复杂的访问控制要求，具有用户级权限的文档管理系统提供了 PDF 规范所缺乏的粒度。
分发带有权限密码的 PDF 时，请在发送前测试副本的权限。打开副本，尝试打印、复制文本和编辑。在文档到达收件人之前，请确认这些限制是否按预期发挥作用。
如果同时使用，权限密码应与打开密码不同。对两者使用相同的密码会破坏使用两个单独密码的目的。开放密码控制访问，权限密码控制使用。
当受众群体明确定义并且随着时间的推移保持稳定时，权限密码方法效果最佳。当组成员身份频繁变化时，维护多个版本就变得很麻烦。具有用户级权限的文档管理平台可以更轻松地适应不断变化的组成员身份。
对于通过电子邮件分发的文档，请考虑电子邮件转发可以将文档发送给原始受众之外的收件人。权限密码不会阻止转发。它仅限制收件人在收到文档后可以对文档执行的操作。
负责文档安全的任何人都应该清楚地了解 PDF 权限的限制。 PDF 权限是第一道防线，而不是唯一的防线。它们应该成为更广泛的文档安全策略的一部分，其中包括访问控制、分发跟踪和收件人协议。
PDF 规范的单一权限密码限制不太可能改变，因为该格式在其安全模型中优先考虑简单性和广泛的兼容性，而不是功能丰富性。
对于大多数组织来说，差异化 PDF 访问的实用方法是为每个权限级别创建单独的版本并仔细管理分发，而不是尝试在单个 PDF 文件中实现用户级别权限。
| 方法 | 工作原理 | 优点 | 缺点 |
|---|---|---|---|
| 多个PDF版本 | 每个权限级别创建一个 PDF | 适用于任何 PDF 阅读器 | 管理和分发多个文件 |
| 文件管理系统 | 平台强制执行每个用户的权限 | 精细化控制；审计追踪 | 需要接收者平台访问权限 |
| 信息权限管理 | IRM 在操作系统级别保护文件 | 可撤销；强有力的保护 | 需要IRM客户端；复杂的设置 |
| 单一权限密码 | 所有受限用户使用一个密码 | 最简单的方法 | 无用户级别差异化 |