记者：如何私密地处理机密文件和消息源

一个消息源塞给你一份 PDF。也许是一份内部备忘录、一份某人本不该留着的合同、一份能证明你追查了几个月那件事的文档扫描件。现在你的工作是读它、处理它、把它安全地保存起来，并且绝不让你做的任何事指回那个把它给你的人。

最后这一部分才是难的。报道可以扎实，故事可以滴水不漏，可一个消息源仍然可能因为一个没人想到的细节而被认出来。一个带着用户名的文档属性字段。一段修订历史。一个你忘了它正在处理的服务器，文件却悄悄上传了上去。保护消息源不只关乎你跟谁交谈，它关乎那些文件本身泄露了什么。

上传是你看不见的那次泄露

假设你手上有一份泄露的 PDF，它分成三块到达，或者扫描件的顺序乱了，又或者你想在把它放进共享存储之前先加锁。于是你搜了一个免费工具，把文件拖进去，点了那个按钮。大多数 PDF 网站的工作方式，是把你的文件发到一个服务器、在那里完成任务、再把结果交回来。

对于一份度假行程单，没问题。但对于一份消息源冒着断送职业生涯的风险才交给你的文档，你刚刚把它的一份副本放在了一台你从未打过交道的公司所拥有的机器上。你不知道那个服务器坐落在哪里、它听命于哪个司法管辖区、谁可以拿一纸传票去调取它的日志，也不知道在那条欢快的「一小时后删除」消息之后，文件到底真正留了多久。如果那份文档敏感到一个政府或一个公司法务团队想要知道是谁泄露的，那么每一份存在于你掌控之外的副本，都是一条某人可以扯动的线头。

文件本身也可能把答案带在里面。PDF 会存储元数据：作者名、制作它的软件、创建和修改的时间戳，有时还有它保存时所在的网络路径。一份泄露的内部文档可能包含最后一个碰过它的人的登录名。把那份 PDF 发给一个随便找来的网页工具，你就等于把一份可能已经点名了你消息源的文件，交给了一个陌生人的服务器。

在不让它离开你笔记本的前提下处理它

办法说起来很简单。不要把这份文档上传到任何你看不见的地方。如果文件从不离开你的机器，它就没法从别处的某个服务器被调走，也没法躺在一个备份里等着一张传票。

基于浏览器的工具让这件事变得切实可行。PDF 被读进你自己电脑的内存里，操作在那里运行，完成的文件直接保存回给你。没有任何东西被发出去。下面是通常的处理流程。

把几块拼起来。 泄露的材料很少整整齐齐地到达。你拿到一份备忘录、三份附件和一张封面说明，全是各自独立的文件。把它们拖进 合并 PDF 工具，你就得到一份真正能拿来工作的文档，而不用把任何东西寄给一个转换网站。

在保存之前先锁上它。 一旦你拿到了所需的文件，就在它进入共享盘或一台会随身携带的笔记本之前，给它加上密码保护。加密 PDF 工具 在你的浏览器里给它加密，于是这份文档对任何拿到文件却没有密码的人来说都是无法读取的。如果一台设备被没收、丢失或在边境被拿走，这一点至关重要。

打开一个消息源已经锁好的文件。 有时文档以加密形式到达，而你从消息源那里拿到了密码。解密 PDF 工具 会在本地移除保护，让你能够读取并处理它，同样不会让文件碰到任何服务器。只对你被授权打开的文档使用这一招。

剥掉那些会点名个人的元数据

在你发布一份文档或把它分享给同事之前，先清理藏在它里面的东西。通过一个本地工具重新保存一份 PDF，会重写这个文件，并丢掉随原件一起带来的大多数嵌入属性：作者字段、编辑软件标签，以及那些把某个人定位在某个下午、某张办公桌前的时间戳。打开文件，让它经过一次基于浏览器的操作，导出干净的副本，再检查文档属性以确认那些会泄底的字段已经没了。在那份要离开你手的版本上做这件事，永远不要在你那份原件的唯一副本上做。

向你自己证明什么都没上传

你不必信我说这些工具留在本地。打开其中一个，按 F12 打开 DevTools，进到 Network 选项卡，勾上「Preserve log」，然后跑一次完整的操作。盯着流量看：页面在一开始加载，然后在你工作的过程中什么都不动。如果你的文件从未出现在某个请求的正文里，那它就从未被发送过。

想要更狠的测试？打开工具，切到飞行模式，在网络关闭的情况下把整个活儿干完。它照样能用，因为一开始就没有一个服务器环节。一个会上传的工具会在你一按「开始」的那一秒就报错。那道差距，正是你消息源的安全所依赖的东西。（如果你想了解为什么上传是一种暴露的法律角度，我在另一篇里写了 上传 PDF 的 GDPR 风险。）

让安全的方式成为默认

你不会在截稿日的午夜去审查一份隐私政策。没人会这么干。所以一次性地决定好：来自消息源的文档一律在浏览器里处理、在存储前加锁、在离手前清理。把这些工具加进书签，别再把敏感文件发到你盯不住的服务器上。你的消息源把一件可能让他们失去一切的东西托付给了你。这些文件至少能做的，就是守住那份信任，而不是把它拱手送出去。