安全收集客户文件：权限、检查与保留管理

安全收集客户文件需要一条从上传到批准使用的明确流程：限制谁能提交和获取文件、在打开用于工作之前检查来件内容，并掌握交付后的副本。上传成功只证明某个阶段已收到文件，不代表所有安全检查都已完成。

对收集拍摄素材、设计资产和文档的代理公司而言，重点是每项决定在哪里做。客户需要清楚的说明；收件团队则需要一位负责人，能够暂停可疑或非预期的来件，同时保留可追踪的记录。

分享链接前，先定义访问范围

只索取项目需要的素材。说明批准的目标位置和可接受的文件包类型，并提供熟悉的联系人，处理超出范围的情况。如果一份指定导出文件就足够，不要要求整个个人或公司文件夹。

分清三种权限：提交新文件、获取来件、管理收件请求。只需要上传的协作者，不应因此获得团队工作文件夹或其他客户来件的访问权。员工权限应根据工作需求设置，外包人员离开或项目结束时也要调整。这是把 OWASP 最小权限原则用于收件流程。

免账号链接可以符合这种模式，但不能验证具名发送者。共享密码可以限制链接使用者，却仍可能被转发。先决定项目需要的是持有链接、控制某个电子邮件地址，还是更强的身份验证；这些要求并不相同。熟悉的标志也不是身份证明。

设置方式可参考免账号上传链接指南。如果服务无法落实必要的权限范围，应改用批准的替代方式，不要为了消除登录提示而放宽访问权限。

根据各项控制能够证明的事情来判断

将连接、内容和权限检查分开。OWASP 的 TLS 说明介绍流量保护和服务器验证；普通 HTTPS 本身并不会验证提交文件的人。

校验值尤其容易被过度解读。Microsoft 的文件哈希文档说明如何比较文件内容。校验值相符，可能证明拍摄素材未改变，也可能证明恶意文件未改变。完整性验证和内容检查应分别记录。

完成来件检查，再放行到工作环境

与安全负责人约定接收位置和检查流程。将文件夹命名为“隔离区”本身不会形成隔离：真正决定范围的是访问权限、处理工具和自动后续操作。检查上传是否会立即触发同步、生成预览、解压缩或导入剪辑软件。

OWASP 的文件上传指南建议采用多层验证、受限存储空间，以及合适的恶意软件扫描或沙箱。它提醒不能只信任上传端提供的内容类型，也指出把文件交给公开扫描服务可能泄露数据。确认哪些控制由服务提供，哪些需要收件团队自行安排。

将这个分工用于常见的项目情况：

• **设计素材里出现非预期的可执行文件或脚本：**先不要放入工作项目，通过已知的项目联系人确认用途。不要只为看看功能就执行。
• **必要的检查工具无法读取压缩包：**记录为未检查。要求批准的处理方式或合适的替代版本；不能把跳过的检查默认为通过。
• **格式可识别，扫描工具也未警报：**放行前仍要完成其他必要检查。单一结果不能保证文件无害。
• **来件包含请求范围外的数据：**先暂停分发，请负责人判断是否应该收集这些内容。不要为了询问而传播额外的个人或机密数据。

机密客户数据应留在批准的检查系统内。接受上传的在线扫描器也是文件的另一位接收者，因此使用方式必须符合客户和组织的数据处理要求。

提前安排加密来件的处理方式

服务如果没有内容解密密钥，就无法在那个阶段检查明文内容。如果必须检查，应在接收环境完成授权解密后、放行到项目前执行，并据此选择接收工具和存储位置。

自动交付时也要注意。加密来件保存到指定端点，只代表完成一个交付阶段，不代表解密后的文件已通过团队安全审查。应指定谁有权将文件包从“已收到”改成“已批准”。

分开记录安全批准与剪辑验收

例如客户提交拍摄原始素材和一份项目文档。收件负责人先确认是预期的提交，并执行批准的安全检查。之后剪辑师才确认素材能否导入、文档能否使用，以及要求的整组文件是否完整。

记录提交编号、已完成的检查、未解决的例外、批准负责人和目标位置。“已收到，待安全检查”这类状态，可以避免其他人将上传完成误认为允许使用。

制作流程需要时，保留拍摄原始文件名和存储卡目录结构。用外层文件夹或提交编号区分来件，不要将逐一重命名素材当作安全措施。拍摄素材收件流程进一步说明完整性、修订和剪辑交接。

结束访问，也要掌握保留副本

开始收件前，列出云端收件箱、接收设备、工作存储空间和备份目标位置。为每一类数据指定保留负责人和保留理由。应根据组织适用的保留规则和项目约定处理，不要任意指定天数。

关闭收件链接、移除托管来件，以及移除本地工作副本，是不同操作。确认服务行为，并记录各位置的处理结果。云端删除不能证明员工下载文件或备份也已消失。

项目结束时，确认谁保管已验收的原始文件、移除不再需要的权限，并记录剩余副本及其保留决定。其他团队仍在使用来源时，避免删除唯一一份已验收的原件。

将这些范围应用到 WarpSend File Requests

WarpSend File Requests将来件收进云端收件箱，上传者不需要创建账号或安装应用。拥有者可以获取文件，也可以选择额外交付到端点。

端到端加密是在创建请求时选择的模式，需要 WarpSignet。启用后，内容在上传者浏览器中加密，供授权接收者解密。只设置收件密码不会启用这项加密。未使用端到端加密时，请求采用 TLS，以及服务管理的存储和访问控制。文件名、路径、大小和交付状态等操作元数据仍对服务可见；详见安全性说明。

如果团队要求检查，应选择受控的接收目标位置，完成适用检查后再放行文件。这是接收流程的要求，不能因为某个加密设置就认定服务已具备该能力。采用服务前要比较相关控制，可参考客户大文件上传平台选购指南。

常见问题

客户不创建账号也能安全上传吗？

如果免账号收件的访问模式符合项目要求，就可以采用。但持有链接或共享密码，不能证明上传者是某个特定的人。需要确认身份时，应使用批准的身份验证方式。

加密代表上传的文件可以安全打开吗？

不代表。加密保护特定路径中的内容，并不判断内容是否恶意。应在授权接收者能够解密的位置安排检查，完成后再让文件进入工作项目。

必要的扫描工具无法检查来件时，应怎么处理？

先不要让来件进入工作项目，并记录原因，例如格式不支持或压缩包已加密。请安全负责人决定批准的处理方式，或要求合适的替代版本。未检查不能视为通过。

关闭上传请求会删除所有副本吗？

不能这样假设。停止收件、移除托管来件，以及删除已下载或备份的副本，是不同操作。应确认每个位置的行为，并按项目批准的保留决定处理。