記者：私密地處理機密文件與消息來源

一個消息來源遞給你一份 PDF。也許是一份內部備忘錄、一份某人本不該留著的合約，或是一份能證明你追了好幾個月那件事的文件掃描。你現在的工作，是讀它、處理它、安全地保存它，並且絕不讓你所做的任何事，回頭指向那個把它交給你的人。

最後那部分才是難關。報導可以扎實，故事可以滴水不漏，而一個消息來源仍可能因為某個沒人想到的細節而被認出。一個帶著使用者名稱的文件屬性欄位。一段修訂紀錄。一個悄悄上傳到某台你早已忘記它正在處理的伺服器上的檔案。保護消息來源，不只關乎你跟誰說話，也關乎那些檔案本身洩漏了什麼。

上傳，是你看不見的那道洩漏

假設你拿到一份外洩的 PDF，而它分成三個部分送來，或者掃描的順序顛倒了，或者你想在把它丟進共用儲存空間之前先鎖起來。於是你搜尋一個免費工具，把檔案拖進去，按下那個按鈕。大多數 PDF 網站的運作方式，是把你的檔案送到一台伺服器，在那裡完成工作，再把結果交回給你。

對一份度假行程表來說，沒問題。但對一份某個消息來源賭上職業生涯交給你的文件來說，你剛剛把它的一份副本，放上了一台你從未打過交道的公司所擁有的機器。你不知道那台伺服器在哪裡、它受哪個司法管轄區管轄、誰可以對它的紀錄發出調取要求，也不知道在那句愉快的「一小時後刪除」訊息之後，檔案到底還留多久。如果那份文件敏感到足以讓某個政府或某個企業法務團隊想知道是誰外洩的，那麼每一份存在於你掌控之外的副本，都是某人可以拉扯的一條線。

那個檔案也可能把答案藏在自己裡面。PDF 會儲存中繼資料：作者姓名、製作它的軟體、建立與修改的時間戳記，有時還有它被儲存時所在的網路路徑。一份外洩的內部文件，可能含有最後一個碰過它的人的登入帳號。把那份 PDF 送到一個隨便找來的網頁工具，你就等於把一個可能早已點名你消息來源的檔案，交給了一個陌生人的伺服器。

在不讓它離開你筆電的情況下處理它

解法說起來很簡單。別把文件上傳到任何你看不見的地方。如果檔案從未離開你的機器，它就無法被人從別處的伺服器拉走，也不會躺在某個備份裡，等著一張傳票。

以瀏覽器為基礎的工具讓這件事變得可行。PDF 被讀進你自己電腦的記憶體裡，操作在那裡執行，完成的檔案直接存回給你。沒有任何東西被送出去。以下是常見的處理流程。

把各個部分併起來。 外洩的資料很少整整齊齊地到來。你拿到一份備忘錄、三份附件和一張封面說明，各自是分開的檔案。把它們丟進 合併 PDF 工具，你就得到一份真正能著手處理的文件，而不必把任何東西寄給一個轉檔網站。

在保存它之前先鎖起來。 一旦你拿到所需要的檔案，在它進入共用磁碟、或進入一台會帶著到處跑的筆電之前，先用密碼保護它。保護 PDF 工具 會在你的瀏覽器裡加密它，所以對任何拿到檔案卻沒有密碼的人來說，這份文件是讀不了的。當一台裝置被扣押、遺失，或在邊境被取走時，這一點很重要。

打開消息來源已經鎖好的檔案。 有時文件送來時是加密的，而你從消息來源那裡拿到了密碼。解鎖 PDF 工具 會在本機端移除保護，讓你能讀取並處理它，同樣不會讓檔案碰到伺服器。只在你獲授權打開的文件上使用它。

清掉那些會點名某人的中繼資料

在你發布一份文件、或把它分享給同事之前，先清掉藏在裡面的東西。透過一個本機端工具重新儲存一份 PDF，會重寫這個檔案，並丟掉原始檔案隨附的大部分內嵌屬性：作者欄位、編輯軟體標籤，以及那些把某個人定位在某個下午、坐在某張桌子前的時間戳記。打開檔案，讓它經過一次以瀏覽器為基礎的操作，匯出乾淨的副本，再檢查文件屬性，確認那些會洩底的欄位都消失了。在離開你手中的那個版本上做這件事，絕不要在你唯一的那份原始副本上做。

向你自己證明沒有任何東西被上傳

你不必相信我說這些工具留在本機。打開其中一個，按 F12 開啟 DevTools，到 Network 分頁，勾起「Preserve log」，然後跑一次完整的操作。盯著流量：頁面在一開始載入，接著在你工作的整段時間裡，什麼都沒有動。如果你的檔案從未出現在某個請求的內容裡，那它就從未被送出去。

想要更嚴格的測試？載入工具，切換到飛航模式，然後在網路關閉的情況下做完整件事。它依然能用，因為一開始就沒有伺服器步驟。一個會上傳的工具，會在你按下開始的那一秒就出錯。那道落差，正是你消息來源的安全所仰賴的東西。（如果你想看上傳為什麼是一種曝險的法律角度，我另外寫過 上傳 PDF 的 GDPR 風險。）

讓安全的做法成為預設

你不會在截稿日的午夜去審讀一份隱私政策。沒有人會。所以一次決定好：來自消息來源的文件，都在瀏覽器裡處理，在保存前先鎖定，在離開你手中前先清理乾淨。把這些工具加入書籤，別再把敏感檔案送往你看不見的伺服器。你的消息來源把某件可能讓他們失去一切的東西託付給你。這些檔案至少能做的，就是守住那份信任，而不是把它拱手送出。