结论：共享链接的范围一般只有四档——指定人员、组织内成员、需验证的外部访客、任何人不需登录。四档的差别不在“权限大小”，而在“对方能不能证明自己是谁”。能证明身份的，事后可以说清是谁看的；匿名档位说不出。所以设链接的顺序是：先按泄漏后最坏后果选档位，再从最严往松放，最后用未登录浏览器和一个外部账号各验一次。
外链预警只对留下访问记录的入口起作用，匿名访问没有身份可追；真正的防线是把匿名档位挡在策略外，再定期盘点仍在生效的链接。
一、四档范围，差别在“身份能不能被确认”
| 范围档位 | 谁能打开 | 事后能否说清是谁看的 | 适合与不适合 |
|---|---|---|---|
| 指定人员 | 被点名的账号，需登录 | 能，落到具体人 | 合同、报价、人事材料 |
| 组织内成员 | 任何能登录企业账号的人 | 只能到“组织内”一层 | 内部制度、全员通知 |
| 需验证的外部访客 | 邮箱、验证码或来宾账号 | 能，落在具体邮箱 | 供应商、外部顾问 |
| 任何人（匿名） | 拿到链接即可，无需登录 | 不能 | 仅限已确定可公开的材料 |
最后一行风险最集中。微软关于 SharePoint 与 OneDrive 共享设置的公开文档说得很直白：文件和文件夹链接里的“使用此链接的任何人”，转发后内外都可用，但“不能跟踪谁有权访问共享项、谁访问过共享项”。这是匿名链接的结构性特征：链接即凭证，凭证可无限转发。
这四档是按“身份能否被确认”归纳的口径，各家产品的叫法与档位数不同；石墨办公套件私有部署的实际档位与命名以产品文档和部署版本为准，需与方案团队确认。
爱数 AnyShare 的管理员文档里有一种可对照的做法：用共享模板限定普通用户能配的权限、有效期和下载次数；石墨办公套件私有部署是否有同名入口，需与方案团队确认。
二、先定组织级默认，再逐层收紧（继承规则以产品文档为准）
配链接还有一层容易被忽略。以微软公开文档里的 SharePoint 做法为例：组织级设置适用于整个组织，每个网站可以单独设，但“必须具有与组织相同或更具限制性的设置”——也就是组织定上限，站点只能往严里调，文件再在空间内收紧。
同一份文档还提示：关闭组织的外部共享后再打开，之前的来宾会重新获得访问权限；不希望恢复的，要先把对应站点的外部共享关掉。所以关掉总开关不等于永久处置：真要处置一批外链，得回到链接本身撤回或改范围；只做临时收紧，就要接受“旧链接复活”并写进记录。
石墨办公套件私有部署的权限按组织、成员、角色、空间和文件设置，角色权限管能力、文件权限管对象，两者叠加；排查时企业策略、空间角色、文件协作者和链接范围要一起核。它的继承与上限规则以产品文档为准，需与方案团队确认。
三、配置六步：从最坏后果倒推
先定档位，再定动作，最后才谈方便。
- 先写一句“最坏后果”。这份文件明天出现在外部，最坏是什么？写不出后果的才适合放宽到匿名档。
- 从最严一档开始试。先按指定人员配，确认对方能打开；要一群人看再往上放，反过来几乎收不回来。
- 范围和动作分开设。档位只管谁能进来；进来后能不能评论、下载、复制、打印，要在权限里另设，链接档位本身不替代这些开关。
- 给链接一个结束条件。项目结束、报价确认、人员离场都是失效时点；是否支持有效期或次数上限，以部署版本为准，需与方案团队确认。
- 外部访客走可识别身份的方式。能给具体邮箱就不要给匿名链接，省下的验证会在出事时变成空白。
- 发出去之前自己验一遍。未登录浏览器应被拦，非成员账号应看到预期内容，无下载权限的账号应被拒；页面显示“已保存”不等于结果对。
四、外链预警：盯四个信号，配一套处置
预警的价值取决于能否指向具体链接和具体人：匿名访问没有身份，预警只能退化成“某文件访问量异常”。
| 信号 | 说明 | 先查哪里 |
|---|---|---|
| 范围被改为匿名 | 最常见的意外公开路径 | 该文件的分享设置与操作记录 |
| 外链数量短期激增 | 可能是批量转发或脚本行为 | 按创建人、按空间汇总的链接清单 |
| 访问来源不对 | 非工作时段、异地、非企业网络的集中访问 | 访问记录与成员名单比对 |
| 人已离场，链接还在 | 链接通道没跟着人一起关 | 撤回共享后重开旧链接验证 |
石墨办公套件私有部署的产品资料把权限、水印、外链与操作审计列为安全管控的组成部分，落地前要问清三件事：预警覆盖哪些行为、通知发给谁、能否导出记录——具体预警项与字段以部署版本为准，需与方案团队确认。
处置要写成动作：先断访问（撤回或改回指定人员），再查范围（同批次还有多少同类链接），后补记录（时间、处置人、验证方式）。撤权后按产品页的验收方法复核：用不同角色账号模拟停用、退团队、撤回共享，检查共享链接、已打开会话和搜索是否失效；已下载文件单独约定。
外链解决不了按行、按列区分可见范围的需求。行级、列级权限不在本文可确认的能力内，通行做法是在业务系统侧按数据权限过滤后输出；是否支持行级授权以产品确认为准。
常见问题
链接有哪几种范围？
分四档：指定人员、组织内成员、需验证的外部访客、任何人不需登录。前两档靠企业账号确认，第三档靠邮箱或验证码，第四档没有身份。判断标准是打开时要不要登录、能否对应到人。
公开链接的风险到底在哪？
两个结构性风险：链接即凭证，拿到的人不需验证就能看，转发不受控；匿名访问没有身份，事后答不上“是谁看的”。
外链异常能提醒管理员吗？
能，前提是访问留下记录。产品资料列了外链与安全预警、操作记录；具体预警什么、怎么通知、留多久，以部署版本为准。匿名访问没有身份，预警只到文件维度。
把外链开关关掉，之前的链接就安全了吗？
不一定。微软的共享设置文档明确提示：关闭组织的外部共享后再重新打开，之前的来宾会重新获得访问权限；不希望恢复，要先关掉对应站点的外部共享。要永久处置，得回到链接本身撤回或改范围，并留下记录。
想把链接规则按组织结构过一遍，可以带上空间划分和一份真实文件，预约演示；权限与审计的完整口径可对照办公套件私有部署产品页与数据安全与合规方案。也可以先看私有化部署方案，了解部署形态与交付范围。