使用指南 · 2026年10月13日
PDF 在线处理安全吗：先把风险说清楚
把合同、发票、体检报告传到在线工具上，风险到底在哪？三种技术路线的区别，以及判断一个工具是否可靠的方法。
在线工具其实分三类
第二、三类里，本地完成的部分和装一个桌面软件没有本质区别——没有数据离开你的设备。真正的风险集中在第一类，以及第三类里明确需要上传的功能。
- 第一类：文件上传到服务器处理。这是绝大多数在线工具的做法，服务器上必然存在一份副本。
- 第二类：浏览器内处理。借助 WebAssembly 与 Web Worker，读文件、算、写文件全在你的设备里完成。
- 第三类：混合。绝大多数操作本地完成，只有 OCR 这类重计算走服务端。
怎么自己验证一个工具是否真的没上传
不用相信宣传语，直接看网络请求。按 F12 打开开发者工具，切到 Network 面板，勾选保留日志，然后做一次完整操作。
如果处理过程中除了加载脚本之外没有任何请求，或者请求的载荷都是几百字节的统计信息，那文件就没有被上传。反之，你会看到一个几兆甚至几十兆的 POST 请求，或者一个 WebSocket 长连接——那文件就在别人机器上了。
判断留存策略的四个问题
- 文件什么时候删除？"处理完成后立即删除"和"30 天后删除"是完全不同的风险等级。
- 会不会用于训练？很多服务把用户数据默认纳入模型训练。
- 有没有人工查看？"自动处理"和"可能人工审核"差别巨大。
- 文件内容会不会被记录？文件名本身就是敏感信息，有些公司名、项目名就写在文件名里。
什么文件一定不要上传
身份证与护照扫描件、银行流水、体检报告、劳动合同、未公开的标书与论文、含商业条款的合同，以及任何带有完整个人信息（姓名 + 证件号 + 地址）的文件。
这些文件如果需要处理，优先选浏览器内完成的功能；必须走服务端时，先确认留存策略，或者把敏感页拆掉只处理剩下的部分。
上传之后，文件通常经历了什么
一个典型的服务端处理流程是：文件先落到对象存储（如 S3 或 OSS），一个后台任务把它取出来处理，处理结果写回存储，再把下载链接发给你。文件在存储里待多久，取决于清理策略——有的是处理完立即删，有的是定时任务每天凌晨扫一遍过期文件。
「立即删除」和「24 小时内删除」在技术上是两回事。前者在请求结束时删除，后者依赖定时任务正常运行。判断一个服务是否可靠，可以看它是否明确写了清理机制，而不只是写了"会自动删除"。
还有一个容易被忽略的点：即使文件主体被删除，访问日志里往往还留着文件名。如果你的文件名是"XX公司-2026年度-薪资调整方案.pdf"，那么文件名本身就泄露了信息。处理敏感文件时，先改个不带信息量的文件名再用，是很低成本的防护。
企业场景的实操建议
最后一条经验：把"文件是否真的需要上传"当成一个独立的判断步骤，而不是默认接受。很多需求（压缩、合并、拆分、格式转换）在浏览器里都能完成，上传只是工具作者的选择，不是技术必需。
- 把文件按敏感度分级：公开可发的走任意工具，内部文件只用本地处理，机密文件走公司自己的系统。
- 给团队一份"允许使用的工具清单"，比事后追责有效得多。
- 在采购或使用前要求对方提供服务条款中关于数据处理的书面说明，而不是只看官网宣传语。
- 对必须上传的流程，要求提供处理完成后的删除凭证或日志，至少要有明确的留存时限承诺。