PDF 文件提示有密码，打开密码和权限密码有什么区别？

PDF 不能编辑、不能复制，和 PDF 打不开，是两类不同的问题。我处理旧文档时见过不少误判：文件明明可以正常阅读，只是打印按钮不可用，却被当成“忘记 PDF 打开密码”；也有人拿到真正加密的 PDF 后，尝试通过换阅读器或修改扩展名解决。

开始处理前，先分清打开密码和权限密码，工具、风险和验证方式都会更明确。

本文只讨论本人所有或已经取得明确授权的文件，不涉及账号、设备、系统密码或来源不明的资料。

打开密码：没有密码就不能读取正文

PDF 规范中通常称为 user password，也常被软件界面称为“文档打开密码”。阅读器需要正确密码才能解密页面内容。

换一个阅读器一般不会让这层加密消失。修改文件扩展名、重新命名或压缩文件也没有作用，因为加密信息和密文都在 PDF 内部结构中。

如果打开文件时，在显示任何页面之前就要求输入密码，通常应先按打开密码处理。

权限密码：文件能读，但部分操作受限制

权限密码通常对应 owner password。文件可能无需输入密码就能打开，但声明了打印、复制、修改、批注或表单填写等权限限制。

这类限制和打开密码不是同一层。不同阅读器会根据 PDF 权限标志决定允许哪些操作，因此“可以看但不能复制”不能直接推导出正文被打开密码加密。

还要注意组织制度和版权要求。即使某个工具能够重写 PDF，也不代表用户有权取消限制；对合同、档案、出版物和第三方资料，应先确认授权范围。

先备份原件并记录哈希

我一般不会直接在唯一文件上测试。先复制原件，再记录哈希：

sha256sum document.pdf

PowerShell 可以使用：

Get-FileHash .\document.pdf -Algorithm SHA256

哈希能帮助确认后续处理的是哪一个版本，也能区分原件和重新保存后的文件。企业交接场景还应记录文件来源、授权人和处理时间。

用 pdfinfo 查看基础状态

Poppler 工具包中的 pdfinfo 可以显示 PDF 的基本信息：

pdfinfo document.pdf

输出中常见的 Encrypted 字段会说明文件是否加密，以及当前可识别的打印、复制或修改权限。如果文件设置了打开密码，需要通过工具支持的安全方式提供密码后才能读取更完整的信息。

不要把终端命令写进包含密码的共享脚本或工单。命令行参数可能进入 Shell 历史或进程列表，生产环境应优先使用受控的交互输入、临时凭据文件或工具提供的安全接口。

用 qpdf 查看加密方式

qpdf 可以检查 PDF 的加密参数：

qpdf --show-encryption document.pdf

如果已获得密码，可以按 qpdf 的参数说明提供，再查看加密算法、密钥长度和权限设置。不要根据一条网络教程盲目套用“移除密码”命令，应先确认文件类型、授权和输出路径。

不同年代生成的 PDF 可能使用 RC4、AES 等不同方案，验证候选的速度也会不同。文件大小不是唯一决定因素，真正影响尝试速度的是加密版本、参数和每次验证所需的计算量。

数字签名文件要额外谨慎

带有数字签名的 PDF 即使能够打开，重新保存、重写对象或修改权限也可能让原签名显示为无效。签署过的合同、凭证和归档文件，应保留原件，只把处理结果另存为新文件，并让业务负责人确认是否允许使用新版本。

因此，验收不能只看“现在能打开了”，还要检查：

1. 页面数量和内容是否完整；
2. 附件、书签、表单和批注是否保留；
3. 数字签名状态是否发生变化；
4. 原文件哈希和结果文件哈希是否分别记录；
5. 结果文件的访问权限和保管人是否明确。

确认是打开密码后，再整理候选线索

如果确实忘记打开密码，应先查找密码管理器、邮件、聊天记录、交接表和同目录说明文件。仍找不到时，再整理可能的长度、字符类型、年份、日期、姓名拼音、项目简称、固定前后缀和大小写习惯。

8 位纯数字有 1 亿种组合；如果放宽到大小写字母和数字，候选数会达到约 218 万亿。把高概率线索排在前面，通常比一开始允许所有字符更实际。

敏感 PDF 应优先在公司设备或内网使用可信的本地工具。普通文件需要使用服务器持续计算时，也应先查看服务方的传输加密、访问控制、保存期限和删除方式，不能只比较计算速度。本文不推荐具体服务，涉及合同、财务和个人信息的文件仍应优先留在本地。

无论本地还是在线方式，都只能验证给定范围内的候选，不保证一定找到密码。强随机长密码或线索错误时，任务可能跑完仍没有结果。

一份简单的判断顺序

1. 文件能否在不输入密码的情况下显示页面；
2. 如果能打开，具体受限的是打印、复制、编辑还是批注；
3. 备份原件并记录 SHA-256；
4. 使用 pdfinfo、qpdf --show-encryption 检查真实状态；
5. 确认数字签名和业务授权；
6. 只有确认属于打开密码后，才开始整理和验证密码候选。

先判断限制发生在哪一层，再选择处理方式，能避免把权限问题、文件损坏和真正的打开加密混在一起。

<!-- tencent_pdf_password_types_20260826 -->