共享文档链接的隐私：权限与转发

聊天保护的是消息；谁能打开链接，由文档服务决定。

你在加密聊天中把文档链接发给一个人，对方又把它转发到群里。群成员能打开文档吗？答案取决于文档服务的共享权限，而不是原始对话是否私密。

包含链接的消息与链接指向的文件有各自的安全边界。通过端到端加密对话发送地址，不会改变目标文件的访问设置，也不会自动把该聊天的加密保护应用到存储的文件上。这是一般性的共享指南，并不意味着 Livara 与某项服务有特定集成。

1. 检查受众，而不只是地址

在 Google Drive 中，“受限”表示只有已获访问权限的人才能打开文件。“知道链接的任何人”则允许持有地址的人无需登录 Google 账号就打开文件。因此，被转发的链接可能触达原本预期的聊天参与者之外的人。

OneDrive 和 SharePoint 同样区分“任何人”“组织中的人员”和“特定人员”链接。组织链接并非指定收件人的链接：转发可能让组织内其他符合条件的成员也能使用它。“特定人员”链接要求使用指定收件人的身份验证；转发本身不会通过该链接授予无关人员访问权。

但这并不能证明无关人员完全没有访问权限。他们可能已通过其他链接、群组、共享文件夹或站点获得权限。应检查项目的完整访问列表，不要把一个限制较严的链接当作完整的权限审计。

需要阅读文档的人通常不需要编辑权限。选择能完成任务的最低权限角色，并检查拥有编辑权限的人是否可以邀请他人或改变权限。

不要把“可以查看”等同于“不能保留副本”。Google 在共享设置中提供下载、复制和打印控制。Microsoft 的“阻止下载”则是适用的仅查看共享链接上的独立选项；是否可用取决于账号、文件类型和管理员设置。其文档说明，该功能将收件人限制为在网页上查看，并移除下载、打印和复制选项。

这些控制可以减少便捷的复制方式，却不保证可读信息无法被拍照、抄录或以其他方式保留。Google 明确指出，Drive 内的限制不能阻止人们通过其他方式分享内容。只发送收件人实际需要的信息。我们关于加密聊天与截图的相关指南解释了为什么可见信息和收件人的副本需要分开考虑。

将地址粘贴到对话中之前：

这份清单是一套编辑建议的工作流程，并不表示每个服务都有相同按钮或功能。工作和学校的政策可能会限制可选项。

对于不熟悉的共享设置，使用不含敏感数据的示例文档。确认预期收件人能用预期账号打开它，再检查没有权限的账号是否被拒绝访问。

未登录的窗口有助于测试匿名访问，但无法验证另一位已登录的同事是否已经有权限。同样，在你自己的浏览器中成功打开链接，对收件人的访问权说明不了多少，因为你可能是所有者。

不要为了消除意外的访问错误就扩大权限。先检查收件人是否使用了受邀账号。发送实际文档前，应另行检查其设置；示例测试成功并不能证明其他文档的权限也相同。

在文档服务中修改访问权限。删除聊天消息不等于撤销目标链接。

在 OneDrive 和 SharePoint 中，“管理访问权限”可以显示共享链接和直接访问权限；从文件夹或站点继承的权限可能需要在来源处处理。移除一个链接不一定会移除其他访问路径。Google Drive 同样提供移除和限制控制，而文件夹权限也会影响结果。

检查修改后的权限，并在可行时重新测试。不要承诺能收回已经下载、打印或截取的副本。撤销服务器访问权控制的是通过受影响权限进行的未来访问，不会远程抹除独立副本。

加密聊天会把“任何人”链接变成受限链接吗？不会。聊天的保护不会改写文档服务的受众设置。

收件人可以转发“特定人员”链接吗？可以转发文本。但单凭这一动作，不会通过该链接授权未指定的收件人。其他已有权限仍需考虑。

禁用下载能保证没有副本吗？不能。应将它视为有局限的实用控制，而不是防止一切可见信息留存方式的保护。

最值得采用的安全习惯是什么？核实受众、选择最低权限角色，并在共享前检查每条访问路径，而不是等链接离开原始对话后才检查。