文件一发就脱手
发附件 = 交出原件。对方可以转发、存档、修改、截图。你既不知道后续流向，也没有任何手段收回。
麦瓜PDF · 外发控制
真正难的不是把 PDF 发出去，而是发出去以后还能控得住
外发管理的重点从来不是"怎么发"，而是"发给谁、能看几次、什么时候失效、出了问题还能不能收回来"。这篇不讲怎么把 PDF 变成链接——那是云分享和转链接的事。这里只讨论一件事：文件已经发出去了，你还能做什么。
发后改权限
打开统计
次数 / 到期
紧急停用
为什么 PDF 外发是最容易失控的环节
文件在你手里的时候，一切可控。真正的风险从外发那一刻开始：
旧版本长期流转
报价改了三版，客户手里的旧报价还在微信群和邮箱里。三个月后有人拿着 V1 来找你谈价，你才发现旧文件从未真正失效。
实际打开人 ≠ 你发给的人
你发给采购负责人，结果文件被转到了竞争对手手里。没有验证、没有打开记录、没有任何追溯手段。
这三类问题的共同点是：你在外发的那一刻就把控制权全部交出去了。外发控制要解决的，就是怎么在发出后仍然留有后手。
有控制 vs 无控制：同一份报价单的两种结局
| 环节 | 直接发附件（无控制） | 通过受控入口外发 |
|---|---|---|
| 发出后能不能改 | 不能。文件到了对方设备里，你改不了。 | 能。后台随时替换文件，对方打开看到的是新版。 |
| 知不知道谁看了 | 不知道。对方打不打开、转没转给别人，你完全没感知。 | 知道。后台可看打开次数和时间。 |
| 能不能让它失效 | 不能。文件落到对方手里就永久存在。 | 能。设到期时间或直接停用入口。 |
| 报价改了怎么办 | 再发一遍新文件。旧版本没有失效，留在对方那里。 | 后台替换。入口不变，内容变成新版。 |
| 怀疑被二次转发 | 没有任何手段确认，也无法阻止。 | 收紧权限：加验证、减次数、加水印、停用。 |
一份文件的外发控制时间线
外发不是一个动作，而是一段持续的过程。下面是一份报价单从上传到最终关闭的完整生命周期：
上传并设好安全边界
上传 PDF，根据文件敏感度选择验证方式（公开 / 访问码 / 手机号白名单 + 短信验证 / 邮箱白名单 / 登录），设到期时间和最大打开次数。这些规则在外发前就定好，不等出了问题再补。对于"发给谁我清楚"的场景，最稳妥的是直接在上传时把对方手机号加进白名单。
把入口发给对方
链接或二维码发到邮件、微信、企微。对方点开直接在浏览器看，不需要下载文件。你发出去的不是文件本体，而是一个受控入口。
观察打开情况
后台看打开次数和时间。如果三天内都没人打开，可能对方没看到链接。如果打开次数异常多，可能已经被二次转发。
必要时收紧规则
发现打开次数太多就加验证门槛。文件过了有效期就设到期。发给错人了就直接停用入口。这些操作不需要通知对方重新发链接。
文件更新了就替换
报价改了、方案调了，不用重新到处发新链接。后台替换 PDF，入口不变，对方打开看到的自动是新版本。
项目结束后关闭入口
投标结束、合作确定、培训完了——不需要的入口就关掉。链接打开后显示"已关闭"，不会一直裸奔。
对象控制：外发三轴里最容易被漏的一条
外发控制的三条主轴是对象、时间、次数。多数人会认真设到期和次数，却把"对象"这一条留成"公开链接"。结果是规则越多越严，但只要链接被转一下，前面的门就全白设了。对象这一轴按门槛从低到高有五级，可按资料敏感度直接选：
| 层级 | 谁能打开 | 适合场景 |
|---|---|---|
| ① 公开 | 任何拿到链接的人 | 宣传册、公开资料、招聘介绍 |
| ② 访问码 | 知道口令的人（可转告） | 小范围外发、样稿、轻门槛把关 |
| ③ 手机号白名单 + 短信验证码 | 只有你提前加进白名单的手机号才能收到验证码打开 | 合同、报价、投标、客户跟进、渠道资料 |
| ④ 邮箱白名单 + 邮件验证码 | 只有你提前加进白名单的邮箱才能收到验证码 | 跨境/海外客户、企业邮箱收件人 |
| ⑤ 账号登录 | 只有指定登录账号能打开 | 长期内部资料、团队共享文档 |
重点推荐：手机号白名单。上传时可以添加最多 50 个 11 位中国大陆手机号，开启短信验证后，只有名单里的号码才能收到验证码短信，其他人就算拿到链接也获取不到验证码、打不开文件。对于"我知道要发给哪几个采购负责人 / 哪几位投标人 / 哪几位客户"的场景，这是最精准的一条外发方式——链接再被转给谁都没用，对方没在白名单里就收不到码。
边界说明：手机号白名单目前只支持中国大陆 11 位号码，港澳台与海外号码请走邮箱白名单（见 加密分享）；单个入口上限 50 个号码，超过时按批次拆成多个入口各自管理；号码填错会导致对方收不到码，外发前最好和对方确认一下手机号是否准确。详细流程与排查见 短信验证。
4 类典型外发场景，控制策略完全不同
报价单 / 商务方案
核心风险：被转给竞争对手、旧报价被拿来砍价。
建议策略：访问码验证 + 到期 7 天 + 打开次数限制 20 次 + 动态水印。报价更新后直接替换，不重新发链接。
合同草稿 / 招投标
核心风险：过了投标期还在流转、被超范围传阅、链接被二次转发给不相关的人。
建议策略：把参与者手机号一次性加入白名单（最多 50 个）+ 短信验证码，名单外的人收不到码、打不开文件；到期时间卡到投标截止日；禁下载禁打印。海外对象走邮箱白名单。
设计稿 / 作品集
核心风险：被截图、被二次转发、图片和版式被抄。
建议策略：动态水印必开 + 禁下载 + 次数限制（给对方看一次就够了）。高敏感作品可以叠加 FenceView 栅栏视图（注意会影响阅读体验）。
培训资料 / 内部手册
核心风险：旧版本长期外流，过了培训期还能打开。
建议策略：公开或访问码（门槛别太高）+ 到期时间对齐培训结束日。资料改版了直接替换，不用群里重发。
这篇和"云分享""访问限制"有什么不同
waifa（本篇）
讲的是文件发出去以后的完整管理流程：从设规则、发出、观察、调整到关闭。重点是"发后控制"。
cloudshare
讲的是如何用云分享链接代替发附件：入口、版本管理、多人协作。重点是"怎么发"。
restrict
讲的是四种限制功能分别管什么：禁下载、禁复制、禁打印、到期。重点是"每个按钮的作用"。
外发控制做不到的事
不能阻止截屏
受控入口可以降低截屏扩散的风险（通过水印和次数限制），但技术上无法彻底阻止对方截屏。任何声称"100%防截屏"的说法都不诚实。
不能控制对方设备上已有的文件
如果你之前已经通过邮件发过 PDF 原件，那份文件已经在对方设备上了。受控入口只能管新的外发行为，不能追溯过去。
常见问题
控制外发是不是等于不让别人看？
不是。外发控制是让分享有边界：该看的人正常看，不该看的人进不来，过了时间自动关闭。它不减少分享效率，而是增加后续可控性。
发出去以后改规则，对方会有感知吗？
大部分调整对方不会有感知。比如你改了到期时间或替换了文件，对方的链接没有变化。只有当入口被停用或加了新的验证门槛，对方再打开时才会遇到。
一份文件可以生成多个入口分开管理吗？
可以。同一个 PDF 可以生成多个链接，给不同的人发不同的入口。每个入口的权限、次数、到期时间独立设置，互不影响。
发给内部同事也需要做外发控制吗？
看资料敏感度。日常通知、会议纪要不需要。但薪酬方案、未公布的组织调整、竞争分析这类内容，即使发给内部人也建议加到期和验证。