Salesforce如何向无访问权限外部用户安全发送加密PDF

两种思路都可以在Salesforce平台内落地，不需要做高成本的定制开发，以下是具体可直接复用的实现路径和踩坑提示。

• PDF加密：直接用Salesforce Flow做流程自动化触发，当对应PDF上传到指定Files文件夹后，自动调用平台内置加密能力，或者选用AppExchange上通过Salesforce安全审查的PDF加密工具，给每份待发送的PDF生成独立的AES256级随机解密密码，密码存储在开启字段级加密的自定义字段中，禁止明文落库。
• 邮件发送：将加密完成的PDF作为附件，通过Flow配置的邮件告警动作发送到对应外部用户的预留邮箱，邮件正文、主题均不得出现任何和解密密码相关的内容。
• 密码下发：同流程内调用Salesforce Messaging短信服务，或你已经对接的合规短信网关，将对应PDF的解密密码单独发送到用户预留手机号，实现文件和密码的传输信道分离，避免单信道泄露导致文件被未授权访问。
• 注意事项：禁止给所有文件、所有用户设置统一固定密码；密码长度不低于8位，包含数字和特殊字符；可以根据业务需求给PDF设置打开密码的有效期，超过有效期后即使拿到密码也无法打开文件，降低附件被转发后的泄露风险。

• 不建议直接使用Salesforce Files默认生成的公开分享链接，这类默认链接如果不额外配置没有严格的权限校验，存在被枚举爬取的风险。有两种低代码实现路径：
  • 轻量场景：直接使用Salesforce Files原生的密码保护分享功能，给每份PDF生成带独立访问密码的分享链接，同时配置链接有效期、访问次数限制，把链接通过邮件发送给用户，访问密码单独通过短信下发，不需要给用户创建任何Salesforce账号，配置全程不需要写代码，适合发送量不大的场景。
  • 中大型场景：用Salesforce Experience Cloud搭建一个无登录门槛的公开访问入口，不需要给外部用户购买标准Salesforce许可证，仅需配置极低权限的访客用户档案即可。给每份PDF生成带不可枚举随机token的专属访问链接，用户点击链接进入页面后，需要输入预先分配的账号密码、或者预留的身份校验信息（比如手机号后四位+短信验证码），后端校验通过后才会以流的形式返回PDF内容，不会暴露文件在Salesforce中的真实存储路径。同时可以叠加访问控制规则：单链接仅允许指定邮箱/手机号的用户访问、校验失败3次自动锁定链接、记录所有访问行为的IP、时间、设备信息满足审计要求、支持随时手动撤销链接访问权限。

• 如果你的业务场景对文件离线访问要求高、担心邮件附件被转发后失控，优先选第一种加密附件的方案，文件本身加密，脱离密码无法打开。
• 如果单份PDF体积较大容易被邮箱拦截、需要后续动态调整访问权限、留存访问审计日志，优先选第二种在线访问的方案，管理灵活度更高。

内容的提问来源于stack exchange，提问作者Jaime Ron