在线 PDF 工具安全吗？本地处理与上传处理的区别
你需要合并两个 PDF，于是搜索"在线合并 PDF"，点开第一个结果。拖入、放下、下载，搞定。但在这个过程中的某个环节，你的文档——也许是一份合同、一份体检报告，或护照扫描件——已经被上传到了一家你一无所知的公司的服务器上。这样安全吗？
使用大多数在线 PDF 工具时实际发生了什么
典型的在线 PDF 工具在服务器端工作：你的文件被上传，在对方的机器上处理，然后返回一个下载链接。这种架构带来几个后果：
- 你的文档副本存在于别人的服务器上，至少是暂时的。大多数服务承诺"几小时内删除"——一个你无法验证的承诺。
- 文件要传输两次（上传和下载），配置失误的暴露面翻倍。
- 你的数据受该服务隐私政策的支配。 免费服务需要收入；如果工具免费而处理却消耗服务器资源，那么"钱从哪来"就是个合理的问题。
- 数据泄露时有发生。 处理数百万文档的服务器是有价值的攻击目标。
这并不意味着所有上传类工具都不怀好意——正规服务商在安全上投入很大。但对于敏感文档，你在付出一份本不必付出的信任，因为存在更好的架构。
另一种选择：在浏览器中本地处理
现代浏览器可以通过 WebAssembly 运行接近原生性能的代码。这使得真正的 PDF 处理——解析、编辑、加密——可以完全在你自己的设备上完成。此时"在线工具"只是一个把程序交付到你浏览器的网页；你的文件从不离开你的电脑。
如何判断一个工具是否真正在本地处理：
- 明确说明。 寻找"文件永不上传"这样的具体表述，而不是空泛的"我们重视你的隐私"。
- 能离线工作。 决定性的测试：加载页面后断开网络，再处理一个文件。本地工具照常工作；上传类工具会失败。（可安装且离线可用的应用——如 PWA——是一个强信号。）
- 网络面板安静无事。 处理文件时打开浏览器开发者工具（F12 → 网络）——本地工具在你选择文件时不会发出大体积的 POST 请求。
CanaryPDF 的定位
CanaryPDF 完全基于本地处理构建：表格提取、图片提取、表单填写与签名、合并 PDF、移除密码和密码保护都通过 WebAssembly 在你的浏览器中运行。页面加载后即可离线使用，而且完全免费——代价是计算由你自己的设备完成，而处理 PDF 对笔记本和手机来说都轻而易举。
实用建议
- 公开或低风险文档，任何正规工具都可以。
- 合同、财务、医疗或身份证件类文档，优先选择本地处理工具——或离线桌面软件。
- 签名是风险最高的场景：一份签好的 PDF 加上你的签名图片，正是你最不希望被缓存在未知服务器上的东西。请使用本地的填写签名工具。
- 如果文档确实敏感又必须使用上传类服务，请确认服务商是否公布了数据保留期限、数据处理协议和审计认证——并想一想：如果这份文件最终被公开，你能否接受。