如何为 PDF 设置密码保护
为 PDF 设置密码保护意味着添加加密，使文件无法在无密码的情况下被打开（或可选地被编辑、打印或复制）。保护由 PDF 写入器应用，它加密内容流并将加密密钥存储在只能用密码解锁的字典中。本指南涵盖两种 PDF 密码实际做什么、应优先选择哪种加密算法，以及哪些工具能在本地完成此操作 — 而不上传您的文档。
两种 PDF 密码：用户与所有者
PDF 可以携带两个独立密码，混淆它们是人们保护文件时最常见的错误。
- 用户密码（打开密码）。 打开文件所必需。没有它，文档无法解密，任何查看器都无法渲染哪怕一页。多数人说的"为 PDF 设置密码保护"就是指这个。
- 所有者密码（权限密码）。 用于更改文件限制 — 打印、复制文本、编辑或填写表单。若未设用户密码，查看器仍可在无此密码下打开文档，但必须执行所有者选择的限制。
实际操作中：若要阻止他人打开文件，设用户密码。若要让任何人都能读但阻止打印或复制，只设带所需限制的所有者密码。两者都设也可以，这是最严格的选项。
RC4 与 AES：使用哪种加密？
PDF 支持多种加密算法。您的工具选择哪种对保护的实际强度影响很大。
- RC4（PDF 1.2–1.5）。 曾在 PDF 和 SSL 中流行的流密码。现已弃用，被视为对现代安全用途已破解。以 40 位或 128 位 RC4 加密的文件应视为弱保护。请勿创建新的 RC4 加密 PDF。
- AES-128（PDF 1.5，Acrobat 7）。 128 位密钥的高级加密标准。稳健且广泛支持。AES-256 不可用时的合理默认。
- AES-256（PDF 1.6 / Extension Level 3，Acrobat 9）。256 位密钥的 AES。可用的最强标准 PDF 加密。工具提供时请优先选择。
更深入的技术对比，请参阅PDF 加密原理详解。
三款本地为 PDF 设置密码保护的工具
以下每个选项都在您的机器上运行，都不上传您的文档。这很重要：包含合同、病历或税表的 PDF 不应在受保护前被发送到某个随意的"免费 PDF 加密器"网站 — 那时未受保护的文件已在别人的服务器上了。
1. Adobe Acrobat Pro（付费）
功能最全的选项。打开 PDF，然后 文件 > 用密码保护。选择 用密码加密，设置用户密码，在 高级选项 下选 AES-256。Acrobat Pro 还可在同一对话框设置所有者密码限制（禁止打印、禁止编辑）。Acrobat Standard 和免费的 Adobe Reader 不能添加加密 — 只有 Pro 可以。
2. Preview（macOS，免费）
在 Preview 中打开 PDF，然后 文件 > 导出…，勾选 加密，输入密码。近期 macOS 版本中 Preview 使用 AES-128。这是 Mac 上最简单的免费选项，适合只需要用户密码的文件。Preview 不暴露细粒度的所有者密码限制。
3. qpdf（命令行，免费，跨平台）
qpdf --encrypt "userpw" "ownerpw" 256 -- input.pdf output.pdf生成 AES-256 加密 PDF。qpdf 开源、快速、可脚本化 — 需要保护大量文件或想要可重现构建步骤时很有用。它同时支持 128 位和 256 位 AES。
分步操作：用 Preview 保护 PDF（macOS）
- 在 Preview 中打开 PDF。
- 从菜单选择 文件 > 导出…。
- 在导出对话框中勾选 加密。
- 输入强密码并确认。
- 点击 保存。重新打开新文件，确认其提示输入密码。
强密码与恢复
PDF 加密没有密码恢复机制。若您丢失用户密码，文件即丢失 — 没有服务器，就没有"忘记密码"邮件流程。请使用密码管理器。16 位随机密码存入管理器，既比您能记住的任何密码更强，又不可能忘记。
避免基于文档内容的密码（出现在 PDF 内的姓名、日期、项目代号）。任何能从文档上下文猜出密码的人都能打开文件。
常见误区
- 只设所有者密码就期望文件不可读。 没有用户密码文档仍可打开；只有限制生效。
- 对敏感文件使用"免费在线 PDF 加密器"。 文件在保护应用前已未加密上传。请改用本地工具。
- 接受 RC4 为默认。 部分较老工具默认使用 40 位或 128 位 RC4。检查加密设置并切换到 AES-128 或 AES-256。
- 忘记密码。 无法恢复。设置时立即存入密码管理器。