介绍
将敏感文档上传到在线转换器可能会让人感到风险。文件可能被拦截、存储时间超出预期，或以产生隐私问题的方式进行处理。SaaS 公司的前端工程师可以通过使用安全、注重隐私的查看器来降低风险，该查看器控制访问、在处理过程中保护文档，并限制临时文件的可用时长。
本文回顾了通用在线转换器带来的风险，然后区分了两个经常被混淆的概念：免费公共查看器在 OnlineDocumentViewer.com ，以及 SaaS 团队在自有产品中嵌入的 Doconut SDK。它们不是同一产品，且回答了不同的问题。
理解文件转换服务的威胁格局
即使是精心打磨的在线转换器，如果安全处理不当，也可能泄露敏感数据。最常见的风险包括不安全的传输、模糊的保留政策以及薄弱的访问控制。
| 威胁 | 发生方式 | 实际影响 |
|---|---|---|
| 中间人拦截 | 弱或不安全的传输设置可能在文件上传或访问时暴露文件。 | 机密合同、健康记录、财务报告或源文件可能被泄露。 |
| 第三方服务器上的持久存储 | 某些服务在没有明确用户可见性的情况下，将上传的文件保留数小时或数天。 | 这可能导致隐私风险、合规问题和审计顾虑。 |
| 嵌入式查看器隔离薄弱 | 控制不佳的嵌入式预览体验可能增加对不需要的脚本或未授权访问的暴露。 | 如果查看器未正确隔离，敏感文档内容的风险会更大。 |
对于需要处理机密文件的 SaaS 产品而言，这些弱点可能导致严重的业务和合规问题。解决方案不仅仅是使用安全传输。还需要一个能够限制文档暴露、控制访问并支持注重隐私工作流的查看器。
两种不同的产品，差异在此重要
在继续之前：OnlineDocumentViewer.com 是一个免费公共网站。任何人都可以上传文件、阅读文件，文件会在会话结束时被删除。没有账户、角色、权限，也没有审计日志，因为没有人可以关联这些信息。这是对“我无法打开此文件”的良好解答，却不是对“我组织中谁可以阅读此合同”的回答。
回答第二个问题的则是 Doconut SDK：相同的渲染引擎，经过授权并安装在您自己的服务器上，由您的应用程序提供身份验证、授权、存储和日志记录。
本文的大部分内容都在讨论第二种情况。
为什么限时访问很重要
当查看器嵌入到 Web 应用程序中时，文档的获取方式就是整个安全故事。直接文件链接实现简单，并且在接收者不再需要后仍然保持有效。
更安全的模式是使用短期、由服务器生成的引用，限定在单个文档和单个会话范围内，并在每次请求时重新进行授权检查。
该模式是由 您的应用程序 实现的。它不是查看器组件的属性，当然也不是公共网站的属性：OnlineDocumentViewer.com 没有用于限定任何内容的身份模型。它所拥有的只是一个会话，结束时会将文件一起删除。
自动文件删除与隐私：您需要验证的内容
隐私法规和内部安全政策通常要求团队避免将个人或机密数据保留超过必要的时间。许多免费或通用的转换器会提到自动删除，但细节并不总是明确。有些仅在固定延迟后删除文件，而其他则可能保留临时副本的时间超出预期。
在评估任何文档查看器或转换器时，请验证：
- 上传的文件会保留多长时间。
- 临时文件是否在查看会话结束后被删除。
- 是否会创建任何备份副本或原始文档日志。
- 是否可以查看访问历史。
- 该服务是否支持您的内部隐私和合规要求。
在本网站上，这五个问题的答案都很简短：上传的文件在查看会话结束时被删除，没有账户也没有库，因为没有可关联的身份，所以不保留访问历史，也没有任何认证支持。这对于您本来就会通过电子邮件发送的文件来说是一个不错的模型，但对于案件文件则不合适。
在无需插件的情况下嵌入查看器
在这里，这两款产品明确分离，请准确说明您在评估哪一款。
| 免费网站 | Doconut SDK | |
|---|---|---|
| 运行位置 | 我们的服务器 | 您的服务器 |
| 可嵌入您的产品 | 否 | 是 |
| 自托管 | 否 | 是 |
| 身份验证和角色 | 无。没有账户 | 您的应用程序的 |
| 审计追踪 | 无 | 您的应用程序记录的内容 |
| 保留策略 | 在查看会话结束后删除 | 您的策略 |
| 成本 | 免费 | 商业许可证 |
| 格式 | 73 种扩展 | 18 类共 75 种，包含 DICOM |
两者均无插件且在服务器端渲染，因此不会在用户机器上执行任何代码。列表中的其他项都是差异，选择错误的列会导致安全评审出现问题。
安全 SaaS 工作流的实用集成技巧
这些适用于嵌入您自己产品中的查看器——即 SDK。它们不能用于公共网站，因为公共网站不包含您自己的服务器。
1. 在服务器上生成短期访问权限
解析由应用拥有的文档 ID，而不是暴露原始文件。将引用绑定到单个文档、单个操作和单个会话，并赋予其有限的生命周期。
2. 只返回客户端需要的内容
前端应只接收查看引用，绝不获取存储路径或凭证。
3. 在服务器上按角色应用权限
有些用户只能阅读；有些用户还可以打印或导出。应在请求时强制执行，而不是通过隐藏工具栏按钮来实现。
4. 记录访问事件
用户、租户、文档 ID、操作、授权结果、时间戳。记录标识符和结果——而不是文档内容、令牌或存储 URL。
关键要点
- 敏感文档不应通过永久公共链接公开。
- 对托管转换器要询问的问题是保留时间，而非加密：文件会保留多长时间，谁可以在其存在期间访问。
- 本网站的免费查看器没有账户、没有角色，也没有审计追踪。它在会话结束后删除上传的文件，这就是其全部访问模型。
- 任何需要授权、权限、日志或自托管的功能都由 SDK 负责，在您的应用程序内部运行。
- 无插件预览让用户停留在您的产品中——但只有嵌入的 SDK 才能让您保持这种体验。
- 合规声明属于您部署的系统，而不是单个组件。我们没有任何认证，两个产品也不会改变这一点。
常见问题
Q: 我能阻止用户下载文档吗？
A: 在本网站上不能——它没有账户、没有角色，也没有权限模型。在您使用 SDK 的自有应用中，工具栏由您配置，且服务器仍需对每个请求进行授权。隐藏按钮并不构成访问控制。
Q: 我的应用将文档存储在云存储中。此工作流仍然适用吗？
A: 使用 SDK 可以。您的后端将应用拥有的文档 ID 解析到存储位置，检查用户是否有权限，然后将文件交给查看器。原始存储路径永远不会传递到浏览器。免费网站做不到这一点：它只有一个输入，即键盘用户上传的文件。
Q: 自动文件删除足以满足合规要求吗？
A: 不是。清理只是众多控制措施之一；合规取决于您的工作流、政策、日志、访问控制和数据处理。请在实际运行的环境中验证保留行为，并注意我们没有任何认证支持——我们没有任何认证。
Q: 如果用户需要打印文档怎么办？
A: 免费查看器支持打印；无需配置，也没有人可为其配置。在您自己的应用中，打印是您根据角色做出的决定，并在服务器端强制执行。
结论
将敏感文件上传到在线转换器是关于保留和访问的决定，而不是关于上传表单的决定。请询问文件会被保留多长时间、谁可以访问它以及在哪里处理。
对于一次性且不机密的文件，在线文档查看器 可以免费打开，无需账户，并在关闭标签页时删除它。对于在您自己的 SaaS 产品中进行文档预览——使用您的身份验证、权限和存储——您需要的是 Doconut SDK，它运行在您的服务器上，永不将文档发送到任何地方。
两款产品。请选择与文档匹配的那一款。