在线处理 PDF 安全吗：本地处理与云端上传的本质区别

两种架构，风险差别在数据去了哪

在线 PDF 工具的架构只有两种。一种是云端处理：文件通过 HTTP 上传到服务器，服务器算完再把结果传回来，中间必然经过对方的磁盘和内存。另一种是本地处理：页面加载时把程序下载到浏览器，之后所有计算都在这台机器的内存里跑，文件字节从不离开本机。

前者的问题在于，你对文件离开本机之后发生的事完全没有控制权。对方的隐私条款怎么写是一回事，实际留存多久、有没有被拿去训练、日志里有没有记文件名，你无法验证。后者则把这个环节整个去掉了，没有上传也就没有留存。

怎么验证一个工具是不是真的本地处理

这件事不需要信任任何声明，自己动手几分钟就能查清楚，而且结论可复现。下面这套方法对任何在线工具都适用。

1. 打开浏览器的开发者工具，切到网络面板，勾上保留日志选项。
2. 清空面板，然后在工具里导入一份体积较大的 PDF，比如 30 兆以上，文件越大越容易观察。
3. 执行一次处理操作，比如压缩或者加水印，观察有没有出现上传类请求。重点看请求方法是 POST 且载荷体积接近文件大小的条目。
4. 看请求的目标域名和路径。如果请求全部指向静态资源域名，且没有携带文件内容的大体积 POST，基本可以确定是本地处理；如果出现指向 upload 或 api 路径的大请求，就是上传了。
5. 更彻底的办法：等页面完全加载后断开网络，再处理文件。还能正常出结果，说明计算确实在本机。

PDF 里可能藏着你没意识到的信息

即使内容本身已经处理干净，文件里还挂着一批附加数据。这些东西在页面上看不见，但任何拿到文件的人都能读出来。

• 文档属性里的作者名、公司名、创建程序、创建和修改时间。
• 修订记录，保留着所有被删改过的历史版本内容。
• 批注和批注作者，通常包含姓名和邮箱。
• 嵌入的附件，比如附在合同里的报价单原件。
• 表单域里填写过的内容，包括下拉框的历史值。
• 缩略图、隐藏图层和不可见对象。
• 元数据里的地理位置，手机或平板生成的 PDF 常带。

发出去之前自己查一遍

清理顺序建议固定下来，形成习惯比每次临时想省事。顺序错了还可能把已删内容留进修订记录里。

1. 先用查看元数据工具把文档属性完整读一遍，看清里面到底有什么，别凭猜测。
2. 移除元数据：作者、标题、主题、关键词、创建程序、时间戳全部清掉或改成中性值。
3. 做深度清理，处理修订记录、批注、隐藏对象、嵌入附件、表单残留这些常规元数据工具覆盖不到的部分。
4. 如果内容里有敏感段落，先脱敏再清元数据。顺序反了会把已删内容留进修订记录。
5. 清完再回头看一次元数据，确认字段已经变空，而不是只改了显示名。
6. 最后改文件名，别让文件名本身泄露信息。

什么时候必须走本地

不是说云端一定不能用，而是要分场景。处理不含任何敏感信息的公开材料，比如产品说明书、公开课件，用什么都行。但下面这些情况，本地处理是唯一合理的选择。

• 含身份证、银行卡、病历、工资、客户名单的文件。
• 未公开的合同、招投标文件、财务数据。
• 公司内部尚未披露的方案和人事文件。
• 按合规要求不得外传或不得出境的材料。
• 大文件且网络环境不可信，比如公共无线网。