企业文件预览的安全控制应该分成哪些层
从源文件、接口、分享与运维四个层次梳理预览系统的访问边界。
源文件获取要有限制
预览服务会代表用户下载文件，因此源域名、DNS 地址、跳转目标、大小和超时都需要控制。域名白名单并非网页访客名单，也不能因为来源看似熟悉就关闭其他检查。
接口与代理协同管理
服务密钥应由业务后端保管。经过反向代理时，仅信任明确的代理地址，并覆盖客户端 IP 请求头；否则 IP 白名单可能依据伪造信息作出判断。
链接规则针对具体阅读
密码、期限、IP 和一次性访问用于相应分享入口。它们与服务全局白名单不同，应该按材料和分享对象设置。页面水印或隐藏按钮不能替代服务端权限检查。
运行环境需要持续维护
组件版本、上传内容检查、日志权限和磁盘容量都要纳入维护。已有安全措施不代表绝对无漏洞，也不等于已经完成独立安全审计；新增功能后应验证原边界没有被破坏。
建议的验收方法
安全验收可从两类用户、两个不同文件和两种访问入口开始，检查无权限账号、伪造请求头和直接资源请求是否被正确处理。测试应限定在自己管理的环境，并保留可复现的步骤与实际结果。正式运行还要注意日志中可能出现文件地址和参数，限制日志权限和保留时间。