Article body
正文
摘要：经营报表离开分析页面后，常以截图、文档或数据文件继续流转。HENGSHI SENSE 提供全局水印、应用级关闭控制及可组合的用户信息变量，帮助企业在支持的页面和导出产物中保留来源线索。使用这些能力时，需要同时明确访问授权、导出控制、产物覆盖与审计方式。本文从配置规则和实际交付过程说明水印能提供什么，以及怎样验证它。
1 为协作选择合适的交付方式
一份经营看板可能有多种接收人：区域经理在平台中分析，管理层阅读会议材料，外部顾问处理获准提供的数据。管理员需要先明确接收人的身份、可见范围和使用目的，再决定采用受控页面访问，还是生成文件交付。
水印为阅读材料补充来源信息。发现一张截图时，核查人员可以把可见的用户名、时间等内容与访问或操作记录结合起来，缩小核查范围。文件离开平台后，平台权限本身不能继续控制任意外部软件中的复制和转发；水印也不提供完整传播路径或自动撤回能力。因此，文件分发仍需要明确接收范围和保存要求。
这些安排应与技术配置配合。对于只需要查看结论的人员，优先评估受控阅读入口；确需交付数据时，再确定可导出的字段、行数和渠道。管理员不必把每一种协作需求都变成全量明细文件。
2 全局水印如何下放到应用
当前 HENGSHI SENSE 手册采用“全局优先”的配置规则。系统管理员开启水印保护后，系统页面默认显示水印；全局关闭时，应用不能单独开启。只有在全局开启，并允许应用单独关闭的前提下，应用管理员才能决定是否隐藏该应用的水印。
| 全局保护 | 允许应用单独关闭 | 应用侧结果 |
|---|---|---|
| 关闭 | 不构成应用独立开启条件 | 应用不能单独启用全局文字水印 |
| 开启 | 关闭 | 按全局规则显示，应用不能自行关闭 |
| 开启 | 开启 | 应用管理员可按需要隐藏水印 |
这套规则适合由平台管理员确定统一要求，再按业务用途决定是否下放关闭权限。例如，内部财务应用可以保留统一保护；确有展示需求的应用，可在平台允许后调整。应用负责人应记录调整原因，并检查发布后的实际访问入口。
3 选择够用的身份信息
水印内容可以组合固定文字和变量。手册支持用户名、绑定邮箱、手机号、脱敏手机号以及访问时的系统时间。配置时应考虑核查人员需要什么信息，以及材料会被谁看到，不必把全部个人信息放进每一份阅读材料。
内部协作可以从“{name} {time}”这类简洁组合开始；需要联系电话线索时，可以评估使用“{mobile*}”，其含义是手机号中间四位脱敏。若使用邮箱或完整手机号，应先确认传播范围是否适合包含这些信息。固定文字则可用于标明材料所属组织或约定用途。
时间变量表示访问时的系统时间，不能直接代替报表的数据截止时间。会议材料中若要说明“数据截至昨日”或“按某月结批次统计”，应在报表说明或交付记录中另行写明。这样，接收人才能同时理解材料的来源和数字所对应的业务时点。
账号信息同样需要结合实际认证方式解释。共用账号、匿名访问或不同的嵌入入口，可能影响能够取得的身份线索。核查人员应先确认该入口识别的访问者，再判断水印内容能说明什么；不能仅凭一个名字认定具体转发人。
3.1 从最小可用模板开始配置
下面两种写法可以作为水印内容模板的起点，分别适合一般内部阅读和需要补充电话线索的协作场景。花括号中的内容是产品支持的变量，应原样输入；系统依据实际访问身份替换它们。固定文字只表达材料用途，不会自动改变接收人的权限。
内部资料 {name} {time}项目协作 {name} {mobile*} {time}配置后，先使用绑定信息完整的普通账号访问，再用另一普通账号检查身份是否随访问者变化。若邮箱或手机号没有绑定，应记录现场显示结果，不要假设平台一定使用某种备用身份。对嵌入场景，还需区分业务系统显示的登录人和 HENGSHI 实际识别的账号：水印只能解释它取得的身份，不能自动替集成系统完成账号映射。
水印内容并非越长越好。姓名、邮箱和完整手机号同时出现，会增加阅读负担和个人信息暴露范围。可以先选择完成核查所需的最少变量，再用实际报表检查长用户名、长邮箱和不同缩放比例。若背景复杂，需确认关键数字与水印都能辨认，不能用遮挡正文的方式换取表面上的覆盖率。
修改模板或允许应用关闭水印时，管理员应留下生效范围和原因。已有导出文件不会因为后续调整配置而自动改写；一次配置变化也不能据此追溯修复此前已经分发的材料。需要替换历史材料时，应重新生成并按既有分发渠道通知接收人。
4 分别检查页面和导出产物
当前公开手册明确列出的水印覆盖包括系统页面，以及导出的 PDF、PPT、PNG。页面显示正确后，还应按实际使用的出口分别生成文件，检查水印位置、清晰度和覆盖情况。深色背景、长表格分页和不同阅读软件，都值得纳入检查。
Excel 属于数据交付路径，不能从“页面有水印”推导出“所有 Excel 导出都自动内嵌水印”。对于这类文件，应按目标版本与具体入口核实能力，重点落实导出授权、数据最小范围及操作记录。纸质材料也需从实际打印的文件验证，不能跳过中间转换步骤。
截图和文件还可能被裁切、重新排版或二次拍摄。可见水印可以留下线索，但无法保证线索始终完整，更不能阻止接收人再次传播。团队应依据材料敏感度选择保护方式，并将水印与其他控制手段一起验收。
4.1 用访问路径和交付格式组成检查矩阵
不要只在编辑页面看一次水印就结束检查。实际接收人使用的入口、身份和文件格式，才是需要验收的组合。下表给出检查方法；公开链接和嵌入的具体可用能力，应以目标版本、认证方式及配置为准。
| 路径或产物 | 检查动作 | 要留下的结果 |
|---|---|---|
| 应用发布后的页面 | 普通账号 A、B 分别访问；核对应用是否允许关闭水印 | 各自可见的数据范围、实际身份变量、全局与应用设置 |
| 公开链接或嵌入入口 | 确认该入口如何认证，以及 HENGSHI 识别到的访问者 | 入口类型、是否匿名、实际水印内容及身份映射差异 |
| PDF、PPT、PNG | 从实际出口生成；检查首尾页、长表分页及深浅背景 | 文件中是否保留水印，是否遮挡正文，接收端是否可读 |
| Excel 明细文件 | 核对具体入口能力和导出角色，不沿用页面验收结论 | 允许字段、实际行数、导出记录及文件交付范围 |
验收时最好保存同一账号、同一报表、同一时间段的一组产物。先在平台确认可见范围，再导出阅读文件，最后用接收人常用的软件打开或打印。若页面正常而文件异常，应保留原始导出文件和截图，定位问题发生在平台生成、格式转换，还是接收端阅读阶段。
一次通过也不能覆盖所有后续变化。应用关闭选项、认证映射或导出格式调整后，至少复查受影响的路径。对于不包含可见水印的数据文件，可通过减少字段、限定接收人和保留交接记录来补充分发管理，不能把另一种文件上存在水印当作这条路径已经受控。
5 把来源线索接到可执行的核查流程
以跨部门经营复盘为例，以下是一个实施检查过程。管理员先用两个普通业务账号访问同一份报表，检查两人的授权范围以及水印中的身份信息。随后从实际交付入口生成 PDF 或 PNG，确认材料仍能正常阅读，所需线索没有丢失；如果另行导出明细，则用对应角色复核字段和行数。
核查人员再到系统操作记录中按时间、操作者、行为和结果筛选。对导出行为，可结合对象及导出数量判断当时发生了什么。水印中的访问时间、审计中的操作时间和文件的业务期间可能不同，交接记录应把这些时点分开，避免仅凭一个时间戳推断整个传播过程。
5.1 将三个时点写进核查记录
下面是本地人工核查记录的虚构示例，不是 HENGSHI 审计接口的字段定义。访问时间、导出操作时间与业务数据截止时间分别记录，并带上时区，可以减少跨系统比对时的误判。水印展示的具体时间格式仍以现场产物为准。
{
"example_only": true,
"report": "示例：月度经营复盘",
"viewer_alias": "验收账号 A",
"entry": "应用发布页面",
"output_format": "PDF",
"watermark_template": "内部资料 {name} {time}",
"access_time": "2026-11-02T09:00:00+08:00",
"export_operation_time": "2026-11-02T09:02:00+08:00",
"business_data_cutoff": "2026-10-31T23:59:59+08:00",
"visual_check": "首尾页水印可辨认，正文可读",
"audit_check": "已按实际操作者、对象与时间核对导出记录"
}如果外部出现一张带姓名和时间的截图，合理的核查顺序是：先保存原始材料，辨认报表与业务期间；再找对应账号在相近时段的访问或导出记录；最后核实账号是否共用、材料是否经过转交。截图上的姓名是线索，不能单独证明该人完成了外发。平台内一次成功导出，也不能说明平台外后续的每一次传播。
交接记录应关联实际产物及审核结论，避免把完整联系方式或敏感明细再复制到更多登记文件中。核查完成后，由业务负责人决定是否调整接收范围、模板或应用设置，并在相同路径复验。这样才能让一次问题核查回到可以维护的日常配置。
当应用设置、公开链接或嵌入入口发生变化时，负责人应重新检查所用出口。水印配置需要有人维护，相关记录也需要按企业要求留存。对 HENGSHI SENSE 的使用者而言，可持续的分发治理来自几项具体工作：给合适的人看数据，限制需要带走的数据，在支持的材料中保留来源信息，并让管理员能够查到对应操作。