報價單、合約與客戶附件若只靠一串網址分享，即使沒有出現在選單或搜尋結果，拿到連結的人仍可能存取。本文用五項驗收問題，協助企業分清公開檔案、限時連結與登入權限，避免價格、客戶資料及內部文件意外外露。
網站改版時，廠商把報價單、合作合約或客戶附件上傳到網站，再把網址傳給指定對象。檔案沒有出現在選單，搜尋網站也找不到，看起來像是「只有拿到連結的人才看得到」。但若未登入的瀏覽器能直接開啟，這份檔案本質上仍是公開資源。連結被轉寄、留在聊天紀錄或被其他頁面引用後，企業就失去對閱讀對象與期限的控制。
這像把文件放進大樓一樓沒有上鎖的置物櫃，只把櫃號寫在私訊裡。路人未必知道櫃號，但知道的人不需要出示身分，也能把號碼轉給別人。難猜的網址可以降低偶然碰見的機會，卻不是門鎖。
沒有出現在選單，不等於具備檔案權限
真正的存取控制，是系統每次收到下載要求時，都確認目前是誰，以及他是否可以讀這一份文件。OWASP（開放全球網頁應用程式安全計畫）的授權指引指出，靜態檔案也應納入權限規則；即使網址使用複雜亂數，只要拿到網址的人不必再通過權限檢查，就不能把亂數本身當成保護。
robots.txt 是網站提供給搜尋爬蟲的存取建議，不是保密設定。IETF（網際網路工程任務組）的 RFC 9309 標準明確說明，這些規則不是存取授權。Google 也提醒，被 robots.txt 擋住的網址仍可能因外部連結而出現在搜尋結果。noindex 可要求搜尋引擎不要建立索引，但知道網址的人仍能開啟，所以它適合控制搜尋曝光，不適合保護報價、個資或合約。
商業後果可能是客戶專屬價格被其他人取得、附件中的姓名與聯絡資料外露、舊版本持續被轉傳，或企業無法回答「誰曾看過、何時失效」。問題不只在檔案是否被搜尋到，而在公司能否限制、撤銷並證明存取範圍。
用五個問題驗收廠商說的「只有客戶看得到」
- 無痕視窗能直接開嗎？ 登出所有帳號，以新的無痕視窗開啟網址。若仍能下載，就代表服務端沒有確認讀者身分。
- 換一個使用者仍看得到嗎？ 用兩個權限不同的測試帳號交叉測試。可登入不代表可讀所有文件，系統應逐份判斷所屬客戶、案件或角色。
- 網址被轉寄後會怎樣？ 確認限時連結多久到期、能否提前撤銷，以及收件人轉傳後是否仍可使用。到期時間不是身分驗證，期限也要配合業務情境。
- 檔案更新或刪除後，舊連結還有效嗎？ 檢查舊版本、縮圖、快取與備份的處理方式，並要求廠商說明真正停止公開的驗證證據。
- 留下哪些必要紀錄？ 對敏感文件，至少應能追查產生連結、授權對象、下載時間與撤銷動作。紀錄本身也可能含客戶資訊，必須限制權限與保存期限。
公開、限時與登入下載，各有合理用途
公開網址適合產品型錄、公開表單附件與媒體素材，成本低、開啟方便，也利於快取。限時簽署網址是在網址中加入可驗證且會過期的憑證，適合短期交付低至中度敏感文件；限制是連結在有效期間通常仍可被轉傳，能否立即撤銷要看平台能力。
登入後下載的成本較高，需要帳號、角色、逐份權限與失敗處理，但適合客戶合約、個人資料、訂單附件及長期入口。Supabase 的 Storage 官方文件也將敏感文件列為私有儲存空間的使用情境，私有檔案可透過使用者權限或限時簽署網址提供。便宜方案少掉的，往往不是上傳按鈕，而是身分確認、撤銷、紀錄與跨客戶隔離。
今天先做一次未登入與跨帳號測試
先挑三份不同敏感度的檔案：公開型錄、一般報價、含客戶資料的附件。記錄網址、預期讀者、應失效時間與負責人，再依序測試未登入、錯誤帳號、連結轉傳、到期後與刪除後的結果。測試只使用去除真實個資的樣本，不要把正式客戶文件傳到私人通訊帳號。
若目前敏感檔案已放在公開位置，先限制新分享並保存清單，不要只改檔名就宣告完成。接著依風險移到私有空間、補上權限，確認舊網址不能再讀取，再處理搜尋移除與快取。搜尋下架是清理曝光，權限修正才是關門。
自行處理的邊界與接洽準備
單純公開型錄可以由企業自行分類並定期清理。若網站替不同客戶保存文件、網址由案件編號組成、無法撤銷分享、沒有跨帳號測試，或檔案包含身分、付款、合約與內部價格，就需要網站、儲存與權限人員共同盤點資料流、角色、失效規則及驗收案例。
接洽前可準備網站網址、檔案類型與敏感度、目前分享方式、代表角色、保存期限、舊連結樣本、是否需要下載紀錄，以及客戶離場或案件結束時的處理規則。邊境部署可以協助把這些現況整理成檔案分級、權限矩陣與正反測試，先處理拿到網址就能跨客戶讀取的高風險入口，再決定是否需要重做整套文件中心。