“保护一份 PDF”听上去像是一件事。其实它至少是四件事，而且解决的问题完全不同。我见到的多数错误，都源于拿错了工具——通常是拿了密码，因为那是所有人都知道的那个选项。
这是一份帮你挑对工具的实用指南。它不假设你有任何安全背景，也不会要求你安装什么冷僻的东西。
先弄清你真正要解决的问题
在做任何选择之前，先想清楚你担心的是下面哪一种情况。它们确实是彼此独立的。
| 你担心的事 | 你需要的手段 |
|---|---|
| 不该看到这份文件的人可能拿到它 | 用用户密码加密 |
| 他们可以看大部分内容，但不能看其中某一段 | 涂黑删除——真正的涂黑删除 |
| 文件可能泄露页面之外的信息 | 清除元数据 |
| 收件人必须确认它确实来自我 | 数字签名 |
| 我不想让别人编辑或打印它 | 权限——并且请调整你的预期 |
先回答这个问题，本文余下的内容基本就只是细节了。
1. 加密：唯一真正把门锁上的手段
用户密码会对内容进行加密。没有它，文档根本打不开。这才是真正的保护，也是这份清单里唯一能挡住一个铁了心的陌生人的选项。
有三件事要做对：
用一句口令，而不是一个密码。四个不相干的词，胜过八个标点符号。真正能击败猜密码工具的是长度，而破解软件会优先尝试那些看似聪明的短模式。
选择现代的加密方式。如果你的软件提供了兼容性选项，请选 AES-256，而不是任何标着 RC4 或 40/128-bit 的选项。
永远不要把密码和文件一起发送。把加了密的 PDF 和它的密码放在同一封邮件里，是这个领域最常见的错误，它会把保护强度直接降为零。文件走邮件，密码走电话。
更多细节见加了密码的 PDF 到底有多安全。
2. 权限：一句客气的请求，不是一把锁
所有者密码设置的是各种限制——不许打印、不许复制、不许编辑。文档本身对任何人都照样能打开。这些限制之所以生效，只是因为阅读器软件选择遵守它们，而免费工具几秒钟就能把它们去掉。
这不是什么漏洞被人利用；这里本来就没有什么可攻破的东西。用权限来防止诚实的人犯下诚实的错误。永远不要用它去阻止一个不想被阻止的人。
3. 涂黑删除：最容易被做错、也最危险的一项
这一点值得强调，因为它一旦失败，是无声而彻底的。
在文字上画一个黑色矩形，并不会删掉文字。把它用黑色高亮起来同样不会。那些词仍然在文件里，只是躺在一个形状底下，任何人都能把它们选中并复制——或者干脆用一个免费工具把文本提取出来。二十年来，律师事务所、政府部门和报社就是这样一次又一次地把文档公开了出去。
真正的涂黑删除会删除内容，然后把页面展平。请使用带有真正涂黑删除功能的工具，执行它，然后验证：打开结果文件，试着选中黑框底下的文字，再在文档中搜索一个本该已经消失的词。只要其中任何一项有所发现，就说明它没有生效。
同样的陷阱也适用于图片。在某些编辑器里裁剪一张图片，只是把边缘藏了起来，而不是把它们丢弃。
4. 元数据：你不注意时文件在说什么
每一份 PDF 都带着关于它自身的信息，而这些信息不会显示在任何一页上：由谁创建、使用了哪个软件、何时制作、最后一次修改是什么时候，往往还包括原始文件名和文件夹路径。
这通常无伤大雅，偶尔却会泄露内情。一份作为全新成果提交的文档，创建日期却是三年前。一份投标响应文件，作者字段里写着竞争对手的名字，因为它最初是照着对方的模板做的。一个文件路径，暴露了内部项目的代号。
清除元数据只需几秒钟，任何要发出你所在机构的文件都值得做一遍。先用最简单的办法检查一下——在任何阅读器里选择 File → Properties（文件 → 属性），立刻就能看到作者、日期和生成它的软件。
这些手段都防不住什么
这一点值得明说，因为正是在这里，人们的预期与现实偏离得最远。
上面每一项措施，保护的都是文件还没到收件人手上的那段时间。一旦一个合法的收件人打开了文档，它们全都不再起作用。对方可以截图、可以拍屏幕、可以打印、可以重新打一遍，也可以连同你另行发送的密码一起转发出去。从来没有哪个 PDF 设置能阻止上述任何一件事，而声称能做到的产品，说的其实是一种完全不同的技术。
这不是跳过保护的理由——而是要你清楚自己买到的是什么。加密能阻止错误的人打开文件。它阻止不了正确的人做出不当行为。如果你担心的是后者，答案在合同和管理制度上，而不在技术上。
5. 签名：证明它从何而来
数字签名不隐藏任何东西。它证明的是这份文档来自某个特定的证书持有人，并且此后没有被改动过。
它对合同、发票以及任何以伪造为主要风险的场景都很有用。但它的作用比人们以为的要小，因为一个有效的签名并不能说明这张证书是否属于你以为的那个人，也因为签名之后添加的内容仍可能瞒过一次马虎的检查。参见签了名的 PDF 真的安全吗。
操作顺序很重要
这些步骤会彼此干扰，所以请按这个顺序来做：
- 涂黑删除不该出现在文件里的内容
- 清除元数据
- 如果文档需要来源证明，就签名
- 最后再加密
顺序弄错，你就会亲手毁掉自己的成果。先加密，那你还得先解密才能做涂黑删除。先签名再涂黑删除，涂黑删除会让签名失效。合并或转换一份已签名的文档同样会破坏签名——这其实是签名在正确地发挥作用，但如果你没料到，它会让你吃一惊。
五个值得避开的错误
保护了副本，却没管原件。加了密的版本发了出去；没有保护的那份还躺在你的下载文件夹里，被备份，然后同步到了共享盘上。
给每一份客户文档都用同一个密码。一次泄露，就暴露你发出去过的所有东西。
以为”展平”就等于”清理干净”。展平会合并图层，对处理表单数据有帮助。它不是涂黑删除，也不会清除元数据。
为了保护敏感文件，先把它上传到某个网站。通过在线服务给文档加密，意味着你得先把没有保护的文件发到陌生人的服务器上。如果它重要到需要加密，那它也就重要到不该被上传。
相信保护是永久的。加密保护的是静态存放的文件。一旦合法的收件人打开了它，对方就可以截图、打印、转发或者重新打一遍。没有任何 PDF 设置能阻止这些。
发送敏感文件前的五分钟例行检查
- 把不该被看到的内容涂黑删除——用涂黑删除工具，不是用一个黑色矩形
- 验证：试着选中涂黑处底下的文字，并搜索一个本该已经消失的词
- 清除元数据
- 用一句四个词或更多词的口令加密
- 通过另一个渠道发送这句口令
- 删除或妥善保管没有保护的工作副本
PDF Manipulator 负责的是这份清单中间的那几项——加密、元数据、页面级编辑——全部在你自己的电脑上完成，不上传任何东西。它是免费的，源代码是公开的，所以”没有任何东西离开你的电脑”这句话，你可以自己去核实，而不必只是选择相信。它不会替你挑选口令，也不会阻止收件人转发文件。那些部分仍然由你负责。
简单来说
在伸手去拿工具之前，先弄清你实际面对的是哪个问题。加密才是把门锁上；权限只是提出请求。黑色矩形不是涂黑删除。你不出声的时候，元数据会替你说话。还有，无论你做什么，都别把密码和文件放在同一封邮件里发出去。
在本地加密、涂黑页面并清理元数据——PDF Manipulator 免费 →
