在线 PDF 查看器和文档预览工具非常便利。它们让用户无需安装桌面软件或下载每个文档，即可直接在浏览器中快速打开文件。
然而，当文件包含机密信息时，仅有便利性是不够的。合同、发票、病历、法律文件、财务报告、人力资源文件以及内部业务文档都应谨慎处理。
在使用任何在线 PDF 查看器或文档转换服务之前，您需要了解文件在哪里处理、是否被存储、访问如何受控，以及文档是否会离开您的环境。
本指南阐述了使用在线查看工具时保护敏感文档的实用步骤，并说明在需要在自有系统内部进行文档预览的业务应用中，何时使用受控的 .NET 文档查看器（如 Doconut Viewer）会是更好的选择。
1. 了解主要风险
在选择 PDF 查看器或文档预览工作流之前，先识别可能涉及的风险。
| 风险 | 为何重要 |
|---|---|
| 将文件上传到未知服务 | 敏感文件可能在组织控制之外被处理。 |
| 临时存储 | 某些服务可能在查看或转换后保留文件一段时间。 |
| 公开或共享链接 | 未过期的链接可能被转发给未授权用户。 |
| 浏览器下载泄露 | 用户可能在没有控制的情况下下载或本地保存文件。 |
| 缺少审计日志 | 没有日志，难以了解谁访问了文档。 |
| 访问控制薄弱 | 拥有文件 URL 的任何人都可能打开文档。 |
| 第三方处理 | 外部服务可能带来隐私、合规或供应商风险。 |
这些风险并不意味着您永远不能使用在线查看工具，而是提醒您在处理敏感文件时必须谨慎，并了解工作流的细节。
2. 避免将机密文件上传至未知服务
免费在线 PDF 转换和查看工具对公开或非敏感文件很有帮助，但它们可能不适合机密业务文档。
在上传敏感文件之前，请检查：
- 服务是否说明文件在哪里处理？
- 是否说明文件是否会被存储？
- 是否解释文件保留多长时间？
- 是否提供隐私政策？
- 是否需要将文件上传至第三方基础设施？
- 该服务是否适用于业务或受监管的文档？
如果您无法回答上述问题，请不要上传机密文件。
对于非敏感文档的简单查看，您可以使用 Online Document Viewer。对于需要在自有系统内部受控访问文档的业务系统，专用的查看器 SDK 可能更合适。
3. 将敏感文档保留在您的应用工作流中
将文档预览保持在自己的应用工作流中是最安全的方式之一。
与其让用户下载文件或上传至外部转换服务，您的应用可以直接在浏览器中显示文档。
受控的文档查看工作流通常如下：
- 用户登录您的应用。
- 应用检查用户是否有权限访问该文档。
- 文档从您批准的存储位置加载。
- 查看器在应用内部显示文档。
- 您的应用继续控制身份验证、授权和日志记录。
这种方式比让用户手动下载文件并使用外部工具打开提供了更多控制。
对于 .NET 应用，Doconut Viewer 专为嵌入式文档查看设计，可在 Web 应用中渲染并交互 PDF、Word、Excel、CAD、图片等多种文件。
4. 验证文件的处理位置
当安全性至关重要时，最关键的问题其实很简单：
我的文件会离开我的环境吗？
一些在线工具要求将文件上传至外部服务器。这对公开文件可能可以接受，但对私有业务数据则未必。
如果贵组织需要更严格的控制，请考虑在自有基础设施内部运行的解决方案。
根据 Doconut FAQ，Doconut 不是 SaaS 服务，而是安装在您自己的服务器或云基础设施上，文档始终受您控制。FAQ 还说明不会向 Doconut 服务器发起任何调用。
这使得它适用于需要在自有应用环境中进行文档查看的团队，而不是依赖外部上传服务。
您可以在此查看 Doconut FAQ：
5. 使用应用层访问控制
安全的文档预览工作流不应仅依赖查看器本身。您的应用应负责决定谁可以打开每个文档。
常见的访问控制实践包括：
- 要求用户登录后才能查看文档。
- 在加载文件前检查权限。
- 尽可能避免直接暴露文件路径。
- 当存储提供商支持时，使用短期访问链接。
- 对敏感文档避免使用公共文件夹。
- 根据业务流程需要记录文档访问日志。
- 将公共文件与机密文件分离。
查看器只是工作流的一环，身份验证、授权、存储规则和日志记录应由您的应用来完成。
6. 谨慎处理下载和打印选项
如果允许用户下载或打印文件，他们就可以在您的应用控制之外创建本地副本。
这在某些工作流中可能可以接受，但并非所有情况都适用。
在启用下载或打印功能之前，请思考：
- 该类型用户是否应被允许下载文档？
- 是否应允许打印？
- 文件是否机密？
- 文档是否仅用于预览？
- 是否需要记录谁访问了文档？
- 是否需要水印或审计流程？
文档查看器可以帮助将用户留在应用内部，但团队仍需决定每种文档类型和用户角色允许的操作。
7. 检查存储和临时文件
敏感文档工作流还应明确查看前后的处理方式。
请审查以下要点：
- 原始文件存放在哪里？
- 渲染过程中是否会生成临时文件？
- 这些临时文件位于何处？
- 临时文件会保留多长时间？
- 生成的预览是否被缓存？
- 应用是否会清理旧文件？
- 存储文件夹是否受到直接公共访问的保护？
除非产品文档明确说明清理机制，否则不要仅凭 “文件会自动消失” 这种模糊假设。
对于使用 Doconut 的应用，请参考官方文档和 Doconut Download 页面中的示例，了解正确的项目配置。
8. 使用安全的存储来源
许多应用将文档存放在本地服务器文件夹、数据库、URL、内网位置或云存储等不同地点。
Doconut FAQ 提到支持从物理路径、流、数据库、URL、内网地址以及 Amazon AWS S3、Azure Storage、Google Cloud、Dropbox、Redis 等云提供商读取文件。
这对已经在批准的存储位置管理文档的应用非常有用，您可以在不改变整体存储架构的前提下添加文档预览功能。
即使使用云存储，也应遵循安全最佳实践：
- 将 bucket 或容器设为私有。
- 使用访问策略。
- 对敏感文件避免公开 URL。
- 必要时轮换凭证。
- 按应用角色限制权限。
- 监控对机密文件的访问。
9. 避免不支持的安全声明
安全内容应当精准。请避免发布以下未经证实的声明：
- “符合 GDPR”
- “自动删除”
- “端到端加密”
- “零风险”
- “完全安全”
- “军用级加密”
- “即时安全预览”
- “完整数据保护”
只有在官方产品文档、法律条款或安全文档明确支持时，才可使用这些表述。
更安全的写法是描述实际行为：
- 软件运行的位置。
- 文件是否离开您的基础设施。
- 是否会发起外部调用。
- 支持的存储来源。
- 哪些访问控制由您的应用处理。
- 使用的部署模型。
这样可以确保内容准确，避免夸大承诺。
10. 何时使用 Online Document Viewer
Online Document Viewer 在需要一种简单方式从浏览器打开并预览文档时非常有用。
它适用于：
- 快速 PDF 预览
- 在线打开非敏感文档
- 在不安装桌面软件的情况下查看文档
- 测试文件在浏览器中的显示效果
- 与用户共享简易的查看体验
您可以在此尝试：
对于敏感文档、内部系统和业务应用，请确保工作流围绕访问控制、存储安全和明确的文件处理规则进行设计。
11. 何时考虑 Doconut Viewer
在以下情况下请考虑使用 Doconut Viewer：
- 您正在构建 .NET 应用。
- 需要在自有系统内部进行文档预览。
- 希望用户在不离开系统的情况下查看文件。
- 需要支持多种业务文档格式。
- 希望应用自行控制身份验证和权限。
- 希望文档始终保留在您的基础设施和应用规则之下。
Doconut Viewer 适用于 ASP.NET、MVC、.NET Core、.NET 6+、Blazor 等 .NET Web 应用场景。
Doconut FAQ 还说明，服务器或客户端侧无需额外安装 Office，除非文档使用了特殊字体。
关键要点
- 不要将机密文档上传到未知的在线服务。
- 始终确认文件的处理位置以及是否被存储。
- 如可能，将敏感文档预览保留在自有应用工作流中。
- 让您的应用负责身份验证、权限和日志记录。
- 谨慎使用下载和打印功能。
- 检查临时文件、缓存和存储清理机制。
- 避免不支持的安全声明。
- 对于简单的浏览器预览需求，使用 Online Document Viewer。
- 对于需要在 .NET 应用中嵌入文档查看的场景，使用 Doconut Viewer。
常见问题
我可以在在线 PDF 查看器中打开机密文件吗？
只有在您了解服务如何处理文件且组织允许此类工作流时才可以。对于高度敏感的文档，受控的应用工作流通常更安全。
Online Document Viewer 能满足业务文档工作流吗？
这取决于具体使用场景。它适合简单的浏览器预览，但业务系统通常需要身份验证、权限、日志和受控存储。
对 .NET 应用来说，哪种方案更安全？
对于 .NET 应用，专用的查看器 SDK（如 Doconut Viewer）可能更合适，因为文档预览可以直接集成到您自己的应用工作流中。
Doconut 的文件会发送到外部服务器吗？
根据 Doconut FAQ，Doconut 安装在您自己的环境中，文档始终受您控制。FAQ 还说明不会向 Doconut 服务器发起任何调用。
Doconut 能从云存储读取文件吗？
可以。Doconut FAQ 提到支持 Amazon AWS S3、Azure Storage、Google Cloud、Dropbox、Redis 等云提供商。
Doconut 只支持 PDF 吗？
不只。Doconut FAQ 列出了对多种文件类型的支持，包括 PDF、Office 格式、CAD、邮件文件、图片、文本等。
结论
在线文档查看非常便利，但敏感文件需要谨慎的工作流。
在使用任何在线 PDF 查看器或转换器之前，请确认文件的处理位置、访问控制方式、是否被存储，以及工作流是否符合组织的安全要求。
对于非敏感文件的快速预览，可使用 Online Document Viewer 这一简易的浏览器方案。
对于需要在 .NET 应用中实现受控文档预览的场景，请参考 Doconut Viewer、Doconut FAQ 以及 Doconut download resources。