撤销权限无法收回对方已经下载或复制的内容
别名: 撤权 · 已下载副本 · revoke vs recall
概念解释
从名单或链接上拿掉某个人之后，产品里的在线副本他们打不开了。这叫撤销权限。他们磁盘上的 PDF、转发过的附件、拍过的屏、记在笔记里的段落，产品碰不到。无法收回必须在撤权时说出来，免得人把「已停止共享」听成「世界上那份内容消失了」。它是撤权这一动作的后果说明，不是当前范围徽章，也不是扩大确认。
机制
在线权限控制的是「下一次打开」。下载、复制、截屏发生在打开之后，对象已经离开权限系统。人用文件夹的心智来类比：从共享文件夹里踢人，对方电脑上的离线包却还在。若撤权反馈只写「甲已移除」，甲的本地副本、聊天文件、邮件附件全部还在，人会按「已经收回」去做下一步（告诉客户文件作废、或以为合规完成）。说明把控制边界画出来：产品能停的是账号访问，停不了已经离开的比特。查看档若允许下载，撤权的空洞更大；禁用下载能缩小空洞，但不能消灭记忆和二次拍摄。链接关闭同样停不掉已经保存的文件。
怎么研究
让人先分享并确认对方已下载，再执行撤权，问「对方现在还拿不拿得到那份内容」。比较：反馈只写已移除、反馈写明在线访问已停但本地副本不受影响。
自变量：撤权文案是否区分在线访问与已取走的副本、是否在邀请当时就预告这一限制。 因变量：误以为已从对方设备消失的比例、撤权后采取的补救（改内容、改口令、法律通知）是否匹配真实风险。
实验室里若从未发生过下载，人会把问题理解成「打不打得开链接」。必须让下载真实发生。不要把加密过期文档的自动失效，当成普通文件撤权的效果来测。
边界
纯流媒体、禁止下载且禁止缓存的查看，撤权后对方很难留下高质量副本，文案可以写「在线观看将停止」，仍不应承诺「从未留下」。端到端加密的本地包本来就不在服务端控制下，撤权只能停密钥更新，更要写清。已发表到第三方平台的转载，撤权原文件对其无效，应指向那边的删除流程，而不是假装一键收回全网。组织用 DLP 或设备管理能远程擦企业设备，那是另一套控制，只有覆盖到的设备才能写进「可收回」；私人设备仍不行。
怎么落地
- 撤权确认写两句：「甲将无法再打开在线版本」；「已经下载、转发或复制的副本不会被删除」。
- 在首次允许下载或复制的分享里预告同一限制，不要等到撤权那一刻才说。
- 高敏感内容默认关下载，并在查看界面限制常规复制；仍要承认截屏存在。
- 验证：对方已保存一份文件后执行撤权，问分享者对方是否还拿得到。答「拿不到」而实际拿得到，文案失败。再看他们是否采取了与「副本仍在」相称的下一步。