你的 PDF 暴露了你的什么：隐藏的元数据

你写好一份文档，导出成 PDF，然后发送出去。你看到的是内容：文字、图表、版式。你看不到的，是这份文件在底下携带的第二层——一组描述文档自身的属性。那就是元数据，它能透露的关于你的信息，可能比你预想的要多。

对大多数文件来说，这无伤大雅。但对某些文件而言，一个隐藏字段里的名字，或一个谁都没打算分享的时间戳，曾经就是那个露了馅的细节。在发送之前，弄清楚里面有什么是值得的。

PDF 究竟存储了哪些关于自身的信息

在几乎任何阅读器里打开一份 PDF 的属性，你通常会看到一小撮标准字段：

• 作者。 往往是你的全名或你电脑的账户名，由制作该文件的程序自动填入。
• 标题、主题、关键词。 有时留空，有时根据源文档自动填充，偶尔还带着一个你早已忘掉的旧工作标题。
• 创建者和制作工具。 制作这份 PDF 的软件及其版本。「由某某应用 14.2 导出」会准确地告诉读者你用了什么。
• 创建和修改日期。 文件何时制作、何时最后更改的精确时间戳。

这些大多在你从未输入的情况下就被填好了。程序在导出时悄悄地把它们加了进去。

那些容易被遗忘的东西

除了标准字段之外，有几样东西搭便车的频率比人们意识到的更高：

• 你机器上的账户名。 如果你的电脑登录名是你的法定全名，那它可能会成为你制作的每一份文件的作者。
• 某些工作流中的编辑历史。 某些工具会保留早期修订或批注的痕迹，它们在页面上看不见，却藏在文件的结构里。
• 软件指纹。 你所用的确切工具链，可能暗示出你的所属机构或配置。

这些都不会显示在页面上。你光读文档永远发现不了。它们会在有人打开属性面板、或用脚本批量读取元数据的那一刻浮现出来。

什么时候它真的要紧

很多时候它不要紧。但请想想：

• 匿名或盲投。 一份举报人文件、一篇双盲学术手稿、一条匿名线报。如果作者字段里有你的名字，那么在任何人读到一个字之前，匿名性就已经没了。
• 把文档发给你并不完全信任的人。 一场谈判、一桩纠纷、一份求职申请。时间戳和软件指纹是很小的泄漏，但终归是泄漏。
• 公开发布。 一份发布在网上的报告会被下载，任何人都能读到它的属性。曾有机构因为一份公开 PDF 里的元数据而被识别出来，也有消息来源因此被曝光。

如何查看你自己的文件里有什么

最简单的第一步就是去看。在 PDF 阅读器里打开文件，找到文档属性或「信息」面板，通常在「文件」菜单下。它会向你显示那些标准字段：作者、日期、制作它的软件。如果你的名字或一个账户名正躺在作者字段里，现在你知道了。

想看得更仔细，你可以提取文档的文本和结构，看看里面究竟存了什么——全程无需上传文件。关键在于发送之前去看，而不是之后。

为什么这次审查本身就该留在本地

陷阱就在这里。最自然的做法是去搜一个「在线元数据查看器」或「移除 PDF 元数据」的工具，然后上传你的文件。想想这意味着什么。你正担心这份文档暴露了太多关于你的信息，于是为了检查，你把整份文件、连同元数据，一并交给了一台由陌生人运行的服务器。审查本身变成了泄漏。

reader.me 在你的浏览器中运行。当你打开一份文件来检查它、或重新保存一份干净的副本时，工作发生在你自己的机器上：PDF 在本地被读进内存，在那里处理，结果归你所有。没有任何东西被传输。你可以用验证我们任何主张的同样方式来确认：打开开发者工具（F12），观察「网络」标签页，看到没有任何上传。或者拔掉你的网络连接，离线工作。

这才是一次隐私检查应有的样子。你之所以要查看元数据，整个原因就是你在意你的信息去往何处。一个为了回答这个问题而上传你文件的工具，已经给了你一个错误的答案。

一个简单的习惯

在任何文档离开你之手去做一件要紧的事之前，花十秒钟打开它的属性。检查作者字段。检查标题。如果有什么不该在那里的东西，就在本地处理掉它，用一个不会让文件去别人服务器上跑一趟的工具。在你的浏览器里重新处理这份文件，需要一份全新副本时就压缩或合并它，然后发送你真正想发的那个版本。

你的 PDF 说出的，比它的文字更多。现在你知道该去哪里看，也知道如何在查看的同时，不泄漏你正在检查的那件东西本身。