基于浏览器的工具并不都以相同的方式处理文件。有些将文件发送到远程服务器，而另一些则在您的浏览器中本地执行工作。
对于基于服务器的工具，请检查文件的保留时间、数据是否与第三方共享以及文件如何删除。当文档包含敏感信息时，这种区别尤为重要。
操作的“成功”是可见的；而持久的数字足迹则不可见。
在 PlatoForms，我们构建了以隐私为中心的客户端 PDF 工具，因为我们相信生产力不应以隐私为代价。
我们了解文件传输的机制，更重要的是，了解“上传和删除”承诺的风险。
以下是五种需要特别注意的文件类型，并在可行时采用客户端方法以确保您的数据保留在您的设备上。
您应避免在线上传的文件
当您无法验证在线工具如何处理或存储这些文件时，请避免上传以下文件：
- 税务申报表和银行文件
- 医疗记录和健康信息
- 合同和保密协议
- 受密码保护的文件
- 可能包含位置元数据的照片
当处理是必要时，请使用可信的服务或客户端工具，以确保文件保留在您的设备上。
为什么这比您想象的更重要
当您将文件上传到基于服务器的工具时，它会离开您的设备。服务的安全实践和隐私政策决定了它的处理方式。在使用工具之前，请检查其处理位置、保留期和删除政策。
问题是系统性的。Verizon 的 2025 年数据泄露调查报告发现，30% 的泄露涉及第三方，比上一份报告中的约 15% 有所增加。
风险不是假设的。2023 年，攻击者利用 MOVEit Transfer 的漏洞访问其数据库并窃取数据。联合 CISA 和 FBI 的建议解释了漏洞是如何被利用的，以及组织如何缓解它。
这就是背景。现在，这里是五种风险最高的文件类型。
1. 税务申报表和财务文件
常见格式：PDF、XLSX、CSV、DOCX
场景： 您需要压缩扫描的税务申报表以便通过电子邮件发送给您的会计师。您使用了一个免费的在线 PDF 压缩工具。它工作正常.但您的文件刚刚通过了一个您一无所知的服务器。
您的税务申报表可能包含您的全名、家庭住址、社会安全号码（或国家 ID）、年收入、雇主信息和银行账户信息。这些信息的组合可能导致身份盗窃、欺诈性税务申报和未经授权的财务活动。
风险不仅限于恶意运营商。即使是善意的平台也可能通过弱安全实践或受损的第三方服务暴露数据。根据 IBM 的 2025 年数据泄露成本报告，全球数据泄露的平均成本为 444 万美元。
💡 替代方案： 使用在浏览器中本地处理文件的客户端 PDF 工具.这意味着文档永远不会接触外部服务器。
2. 医疗和健康记录
常见格式：PDF、DICOM、JPG（扫描件）、DOCX
场景： 您扫描了一份专科医生的报告并希望将其与现有的医疗文件合并，然后与新医生分享。您使用了一个在线 PDF 合并工具。方便.但您的健康记录刚刚离开了您的设备。
医疗记录可能包含诊断、处方、心理健康历史、手术记录和保险信息。它们高度敏感，因为它们可能暴露长期健康、保险和身份信息。
健康数据在许多司法管辖区受到法律和法规的保护，包括美国的 HIPAA 和欧盟的 GDPR。其范围和服务提供商的责任取决于具体情况。在处理医疗信息时，请验证所需的协议、管理控制和安全措施，而不是依赖于工具“安全”的一般声明。
2024 年 2 月 Change Healthcare 勒索软件攻击成为美国历史上报告的最大医疗数据泄露事件，说明了风险的规模。根据UnitedHealth Group CEO Andrew Witty 的国会证词，攻击者使用受损的凭据访问了没有多因素身份验证的 Citrix 远程访问门户。
💡 替代方案： 专门寻找使用客户端处理的工具.这是指在浏览器中完成所有工作的技术术语，而无需将文件发送到任何服务器。如果您需要通过在线表单收集患者数据（而不仅仅是在本地处理文件），请查看平台的安全措施和业务伙伴协议要求。参见 PlatoForms HIPAA 合规文档以获取支持的控制和账户设置。
3. 法律合同和商业协议
常见格式：DOCX、PDF、TXT
场景： 您需要将多方合同拆分为单独的部分以与不同的利益相关者共享。您使用了一个免费的在线 PDF 拆分工具。高效.但合同的内容、定价、知识产权条款和所有各方的身份现在都在一个您从未审核过的服务器上。
将签署的保密协议或商业协议上传到未经审核的工具不仅暴露了您自己的数据.还暴露了您的客户、合作伙伴和同事，他们都没有同意他们的信息离开您的设备。
还有一个不太明显的问题：保密条款。合同可能会限制其内容的共享方式或可以处理它们的服务提供商。根据协议，将合同上传到未经批准的服务可能会与保密或供应商处理要求相冲突。
💡 替代方案： 使用确认零服务器上传的浏览器工具合并、拆分或重新排序合同 PDF。即使客户不知道您这样做，他们也会感谢您。
4. 受密码保护或加密的文件
常见格式：ZIP、RAR、PDF（带密码）
场景： 您收到供应商提供的受密码保护的 PDF。您需要删除密码以便进行注释。您搜索“在线解锁 PDF”，上传文件，并在提示时输入密码，然后下载解锁版本。
此时，您已将加密文件和其解密密钥交给了您无法控制的服务器。
服务器端密码移除服务必须接收加密文件和打开它所需的密码。它们的安全处理取决于服务的安全性、日志记录、保留和删除实践。如果密码暴露，重复使用相同的密码用于其他文件或账户可能会增加影响。
在使用密码移除工具之前，请确认您有权修改文件。还要检查服务如何处理密码和解密文档。
💡 替代方案： 使用经过验证的客户端工具，文件和密码在您的设备上处理，而不是发送到远程处理服务器。
如果您的目标是限制谁可以打开在线表单而不是删除 PDF 密码，请参阅如何保护在线表单的访问。
5. 个人照片和私人媒体
常见格式：JPG、PNG、MP4、HEIC、RAW
场景： 您想将照片从 HEIC 转换为 JPG。您使用了一个在线转换器。它立即工作.但您上传的照片可能携带的信息比图像本身更多。
使用智能手机拍摄的照片可能包含EXIF 元数据。根据设备设置和应用程序，这可能包括 GPS 坐标、设备型号和拍摄照片的时间。如果元数据保留在文件中，它可能会与图像一起共享。
这是一个有据可查的现实风险。2012 年，VICE 意外发布了一张 John McAfee 的照片，其中仍嵌入了 GPS 坐标的 EXIF 元数据。数据揭示了他在危地马拉，后来他因非法入境被拘留。消费者报告还解释了 EXIF 数据如何揭示照片的拍摄时间、地点和方式。
根据 ISACA 的 2025 年分析，EXIF 元数据越来越多地被威胁行为者用于情报收集.从看似无害的图像中映射位置、日常活动和组织基础设施。
💡 替代方案： 使用手机的内置编辑工具或本地桌面应用程序。如果您必须使用在线工具，请验证没有数据传输到任何服务器.并在可能的情况下首先在本地删除 EXIF 数据。
共同点
以上每个“替代方案”都指向同一个方向：
对于敏感文件，经过验证的客户端工具可以通过将文件保留在您的设备上来减少曝光。
总结我们讨论的高风险：
| 文件类型 | 主要风险 | 隐藏的曝光 |
|---|---|---|
| 财务 | 身份盗窃 | 社保号、收入、银行详情 |
| 医疗 | 永久性分析 | 诊断、处方、健康历史 |
| 法律 | 合同违约 | 定价、知识产权条款、保密条款 |
| 加密 | 凭证盗窃 | 密码和解密密钥 |
| 媒体 | 物理追踪 | GPS 坐标和元数据 |
许多基于浏览器的工具将文件上传到服务器，但现代 JavaScript 和 WebAssembly 也使客户端处理成为可能。使用经过验证的客户端工具，您的浏览器在本地执行文件操作，文件保留在您的设备上。
区别是显著的：这就像将护照交给陌生人复印与在家使用自己的打印机。
如何验证工具是否真正是客户端
不要仅凭网站的“隐私承诺”来判断。您可以通过以下三种方法验证工具是否在本地处理文件：
-
离线测试： 打开工具，然后断开互联网连接。如果处理在离线状态下继续，这表明工作是在本地进行的。这本身并不能证明整个服务如何处理数据。
-
检查网络活动： 打开浏览器的网络面板，观察处理期间的请求。没有大规模上传是有用的证据，但不能证明整个过程都是本地的。
-
阅读服务文档： 查看隐私政策和产品文档，寻找明确声明文件未发送到服务器的说明。WebAssembly 或其他浏览器技术的存在并不能证明整个过程是本地的。
要查看哪些本地 PDF 操作可用以及如何使用它们，请阅读浏览器内 PDF 工具指南。
客户端处理减少了对远程服务器的曝光，但无法保护受损的计算机。保持浏览器和操作系统更新，检查已安装的浏览器扩展，并避免在共享或公共设备上处理敏感文件。
客户端 PDF 工具比较
现在有几种工具提供客户端 PDF 处理，这意味着文件在本地处理而不是上传到服务器。下表比较了四种常用选项。
以下比较基于截至 2026 年 3 月的公开文档和产品页面。
| PlatoForms PDF 工具箱 | BentoPDF | PDF24 Creator | LocalPDF | |
|---|---|---|---|---|
| 处理位置 | 浏览器（客户端） | 浏览器（客户端） | 本地应用（Windows） | 浏览器扩展 |
| 文件处理位置 | 本地浏览器处理 | 本地浏览器处理 | 本地桌面处理 | 本地浏览器处理 |
| 需要安装 | 否 | 否 | 是（仅限 Windows） | Chrome 扩展 |
| 需要注册 | 否 | 否 | 否 | 否 |
| 合并 PDF | 是 | 是 | 是 | 是 |
| 拆分 PDF | 是 | 是 | 是 | 是 |
| 压缩 PDF | 是 | 是 | 是 | 是 |
| 密码保护/移除 | 是 | 是 | 是 | 是 |
| 重新排序页面 | 拖放 | 是 | 是 | 是 |
| 典型用例 | 简单的浏览器 PDF 任务与本地处理 | 大型 PDF 工具包，具有多种实用工具 | 喜欢本地应用的桌面用户 | 从浏览器工具栏快速 PDF 工具 |
⚠️ 关于 PDF24 在线工具的注意事项：
PDF24 Tools 的浏览器版本（tools.pdf24.org）在远程服务器上处理文件。根据其文档，上传的文件和结果通常在一小时内删除。
喜欢完全本地处理的用户可以使用 PDF24 Creator，这是一款 Windows 桌面应用程序，所有操作都在本地机器上进行。
PlatoForms PDF 工具箱
PlatoForms PDF 工具箱 的设计原则很简单：
您的文件永远不应离开您的设备。
我们在此列出它，因为它直接解决了本文中讨论的隐私问题。
所有处理都在您的浏览器中本地进行.合并、拆分、压缩、重新排序页面、用密码保护或移除密码。没有文件离开您的设备，也不需要账户。
这些工具在处理敏感 PDF（如合同、财务文件、身份证明文件和其他机密文件）时非常有用。
界面简单：拖入您的文件，执行操作，然后下载结果。
BentoPDF
BentoPDF 是一款基于浏览器的产品，提供大量 PDF 操作。在使用之前，请查看其官方网站以获取当前功能、离线支持和文件处理详情。
PDF24 Creator (桌面 — 仅限 Windows)
PDF24 Creator 是一款自 2006 年以来持续开发的免费 Windows 桌面应用程序。它在本地处理文件并支持离线工作。其工具包括合并、拆分、压缩、OCR、密码保护和页面编辑。
LocalPDF (Chrome 扩展)
LocalPDF 是一款 Chrome 扩展，提供 PDF 合并、拆分、压缩和密码相关操作。Chrome 网上应用店显示开发者的数据处理披露。在安装之前，请查看最新的披露和请求的权限。
上传任何文件之前的快速检查清单
在处理文件之前，请制作副本并保持原始文件不变，直到您打开并检查结果。压缩、拆分、密码移除和页面重新排序可能会更改文件或其结构。
| 问题 | 如果答案是“否”或“不确定”… |
|---|---|
| 如果这个文件被公开发布，我会感到舒适吗？ | 不要上传它 |
| 工具是否清楚地解释了处理发生的位置？ | 首先检查其文档 |
| 我可以使用经过验证的客户端替代方案吗？ | 对于敏感文件优先选择它 |
| 我是在备份副本上工作吗？ | 首先保留原件 |
| 设备是否受信任并保持更新？ | 暂时不要处理文件 |
| 我有安全的方式分享结果吗？ | 首先选择交付方式 |
便利是有价值的。但有些文件值得花额外的三十秒来使用正确的工具。
请记住，本地处理并不意味着下一个交付方法是安全的。在分享结果之前，请确认接收者和访问设置。如果文件受密码保护，请考虑通过单独的通信渠道发送密码。
参考文献
- Verizon, 2025 数据泄露调查报告, verizon.com/business/resources/reports/dbir
- IBM, 2025 年数据泄露成本报告, ibm.com/reports/data-breach
- CISA 和 FBI, #StopRansomware: CL0P 勒索软件团伙利用 MOVEit 漏洞, cisa.gov
- Andrew Witty, 关于 Change Healthcare 网络攻击的证词, congress.gov, 2024
- Wired, John McAfee 被危地马拉警方拘留, wired.com
- ISACA, 关于 EXIF 数据的知识：一种更微妙的网络安全风险, isaca.org, 2025
- 消费者报告, 照片隐藏的“Exif”数据如何暴露您的个人信息, consumerreports.org
- BentoPDF, 官方文档, bentopdf.com/docs
- PDF24, 关于 PDF24 工具的问题和答案, tools.pdf24.org/en/faq
- Chrome 网上应用店, LocalPDF — 私人 PDF 伴侣, chromewebstore.google.com
在不上传的情况下处理 PDF
直接在您的浏览器中合并、拆分、压缩、重新排序或保护 PDF。无需账户。
通过在线表单收集敏感信息？查看 PlatoForms 信任中心并了解团队管理员如何配置提交数据保留。
