当您在线处理 PDF 时，安全应当是首要考虑之一。敏感文件可能包括合同、报告、发票、工程文档、财务记录或客户信息。如果这些文件被上传到不明确或控制不严的服务，您的企业可能面临隐私、合规和运营风险。

本文将探讨免费 PDF 工具常见的安全风险，并直截了当地说明 Doconut.app 对您的文件的处理方式——以及何时不再是免费站点的答案，而是您自行运行的 SDK。

两款产品始终保持分离：Doconut.app 是我们的免费托管查看器。它渲染文件并在查看后删除；不进行转换，没有账户，也没有付费层级。Doconut SDK 是您在自有服务器上安装的付费 .NET 组件，转换、权限和保留由您自行控制。

为什么传统的免费 PDF 转换器会带来安全风险

免费 PDF 转换器之所以诱人，是因为它们看起来快速且便利。然而，这种便利可能隐藏严重风险，尤其是处理机密文档的企业应用。

风险	典型场景	更安全的做法
传输安全性不明确	文件被上传到安全模型不透明的服务。	使用可信的文档工作流，在上传和处理期间保护文件。
缺乏控制的临时存储	服务可能在未定义的时间内保留文件。	使用具有明确保留行为并在查看后自动清理的工作流。
共享处理环境	多个客户可能使用相同的处理基础设施。	使用专为安全文档处理和受控访问设计的解决方案。
审计能力有限	可能很难了解谁在何时访问了文件。	使用支持可追踪访问和更好运营控制的查看器。
大小和格式处理受限	大型 PDF、CAD 图纸或大量图像的文件可能会失败或质量下降。	使用专为支持复杂业务格式设计的文档解决方案。

必须遵守隐私法规或内部安全政策的企业，无法承受不明确的文档处理。一旦敏感文件离开受控工作流，就更难保证其机密性、完整性和可用性。

同样把这张表套用到我们这里。在 Doconut.app 上：传输使用 HTTPS；保留策略为“查看会话结束后删除”，这点明确但无法由您自行配置；处理环境是共享的，因为它是公共站点；没有每用户的审计轨迹，因为没有用户可归属访问。如果这四项中的任何一项对您的文档不可接受，诚实的建议不是换一个免费工具，而是将 SDK 部署在您自己的网络中，让这四项全部由您自行设定。

在上传、处理和查看期间保护文档

安全的文档工作流应在每个阶段都保护文件。仅关注上传安全是不够的。团队还需要了解文件如何被处理、临时存储、展示以及使用后如何删除。

重要的安全领域包括：

安全传输 – 文件应通过受保护的连接传输，以降低上传和访问期间的暴露风险。
受保护的临时处理 – 文档的临时处理方式应尽量减少不必要的存储风险。
自动清理 – 当文件不再需要时，应自动删除临时文件。
受控访问 – 只有获批的用户和会话才能打开敏感文档。
清晰的运营可视性 – 团队应能够了解文档的访问和处理情况。

这种工作流有助于降低意外泄露的可能性，并让开发团队在将文档预览和转换功能嵌入业务应用时更加安心。

插件免费查看有助于降低安全和支持风险

旧的 PDF 工具通常依赖浏览器插件或外部桌面软件。这些依赖会给企业团队带来安全和支持方面的问题。

常见的插件相关风险包括：

可能无法及时更新的过时组件。
增加攻击面的额外权限。
用户环境之间行为不一致。
与安装、兼容性或被阻止的软件相关的更多支持工单。
迫使用户离开应用的碎片化用户体验。

两款产品都去除了插件。在 Doconut.app 上，阅读器只需要浏览器；在您的产品中嵌入 SDK 时，您的用户也同样不需要插件。权限、品牌和访问规则属于 SDK 的范畴，因为它们仅在有应用围绕查看器时才会生效。

这有助于降低用户摩擦，并简化开发和 IT 团队的支持工作。

在 .NET 应用中嵌入安全查看器

如果您正在构建 ASP.NET Core、MVC、WebForms 或 Blazor 应用，目标是添加文档预览和转换工作流，而不产生不必要的复杂性。

安全查看器应支持简洁的应用流程：

用户选择或上传文档。
应用验证文件类型和大小。
后端控制文档访问和处理。
查看器在应用内部显示文档。
基于业务规则控制查看、打印、下载或导出等权限。
当文档不再需要时，撤销临时访问。

这种方式将敏感逻辑保留在服务器端，同时仍为用户提供流畅的基于浏览器的预览体验。

对于 .NET 团队而言，值得拥有的查看器是能够契合您已有架构的那款。请注意上表中哪些部分属于 SDK，哪些属于您自己的：SDK 负责渲染，并在您授权 Converter 插件时进行转换。身份验证、授权、保留和审计日志属于您的应用，任何查看器都无法替您提供这些功能。

终端用户交互的最佳实践

即使后端安全可靠，糟糕的用户界面设计也会削弱整体安全。安全的文档工作流应当明确指引用户，减少意外错误。

以下是改进上传和预览体验的实用步骤。

1. 在处理前验证文件类型

仅允许您的应用实际支持的文件类型。这有助于防止用户上传不受支持或不安全的文件，并减少不必要的处理错误。

2. 强制文件大小限制

根据您的基础设施和业务需求设定明确的大小上限。过大的文件会增加处理时间、带宽消耗和服务器负载。

3. 显示明确的安全提示

让用户了解文档正在被安全处理。简短的提示信息（如安全上传、受控访问和临时处理）可以提升用户信任。

4. 将权限匹配到用户角色

并非所有用户都应拥有相同的访问级别。有的用户只需要查看文档，而有的用户则可以打印、下载或转换。

5. 避免不必要的本地下载

尽可能让用户直接在应用内部预览文档。这可以减少本地副本的需求，并使工作流更贴合您的访问控制。

在安全文档处理之上叠加这些用户体验保障，可打造从上传到预览的更强大工作流。

在您自己的环境中验证安全性

安全决策应在您自己的环境中进行测试，而非仅凭营销宣传。试用或沙盒评估为您的团队提供了确认查看器是否符合真实应用需求的机会。

评估时，请测试以下方面：

文档的上传和访问方式。
查看后临时文件的处理方式。
大型 PDF、CAD 文件、Office 文档和图片是否能够正确打开。
查看器在您应用设计中的契合度。
权限是否能够支持您的业务规则。
工作流对用户和支持团队的实际效果。
转换输出是否满足质量预期。

Doconut.app 是快速测试渲染部分的方式：它使用与 SDK 相同的引擎，因此在该站点上渲染良好的图纸或扫描件，在您的应用中也会渲染良好。它无法告诉您任何关于转换、权限或保留的情况，因为它本身不具备这些功能——这些需要您在自己的环境中通过 SDK 进行测试。

关键要点

免费的在线 PDF 转换器可能因安全性不明确、临时存储以及控制有限而带来风险。
安全的文档工作流应在上传、处理、查看和清理阶段保护文件。
无插件查看可降低攻击面、简化支持复杂度并减少用户阻力。
.NET 应用程序受益于能够自然融入现有后端访问规则的查看器。
最终用户工作流应包括文件验证、大小限制、明确的安全信息以及基于角色的权限。
在自己的环境中进行评估：渲染质量可在 Doconut.app 免费检查，但安全性、保留和权限只能在自己的服务器上通过 SDK 进行测试。
Doconut.app 是一个免费托管的查看器，不提供转换也不需要账户；Doconut SDK 是用于在 .NET 中嵌入查看以及通过其 Converter 插件进行转换的产品，可直接集成到您的应用程序中。

常见问题

Q1：Doconut.app 适合注重隐私的文档工作流吗？

A: 这取决于您对工作流的定义。文件通过 HTTPS 传输到我们这里，在与您浏览器关联的会话中渲染，并在会话结束时被删除——没有可归档的账户，也没有任何数据被保留。但它是一个公共站点，没有自己的访问控制，我们也没有 ISO 27001、SOC 2 或 HIPAA 认证。对于受监管的工作流，请在您自己的网络内部署 SDK，以确保文件永不离开网络。

Q2：我可以控制文档的可用时长吗？

A: 安全的实现应允许您的应用程序控制访问时长和临时文档的处理。这有助于降低文件在不必要的时间内仍然可用的风险。

Q3：Doconut.app 能处理大型工程图纸或高分辨率图像文件吗？

A: 有一定限制，具体是数值。CAD（DWG、DXF 和 DGN）上限为 10 MB，而已发布的图纸往往会超过；PDF、PSD、TIFF 以及图像格式的上限为 25 MB。上限取决于文件格式，而非站点本身，超过上限会在上传时被拒绝，而不是在上传过程中中途阻止。您在自有硬件上使用 SDK 则没有此类限制，因为限制是我们设定的，而非引擎本身的限制。

Q4：我可以在 .NET 应用程序中使用 Doconut 吗？

A: 可以。Doconut 可用于后端管理文档访问、浏览器端查看器提供预览体验的 .NET 工作流中。

Q5：Doconut.app 只查看 PDF 吗？

A: 不是——支持 70 多种扩展，覆盖十七种查看器：包括 OpenDocument 及宏启用变体的 Office 文档、CAD、PSD、Visio、Project、电子邮件、EPUB、TIFF 以及各种图像格式。它可以查看这些文件，但不进行转换。转换功能由兄弟站点 OnlineDocumentViewer.com 或 SDK 的 Converter 插件提供。

准备好保护您的文档工作流了吗？

文档工具能给您关于文件的最安全的承诺，就是它已经不再拥有该文件。这正是 Doconut.app 所提供的，它对您只需阅读一次的文件非常实用。

当文档绝对不能离开您的网络时，答案不是更好的托管服务，而是 SDK，在您自己的应用程序内部渲染，使用您已经必须维护的访问规则和保留策略。