PDF 隐私指南 · 基于可复现测试
如何判断 PDF 工具是否上传你的文档
HTTPS 或“安全”字样本身不能说明 PDF 在哪里处理。要区分浏览器本地处理和远程传输，需要观察真实操作中文件发生了什么。
简短答案
结合两个信号：断网后再选择文档，并在等效的在线运行中检查网络流量。如果操作能在离线状态完成，而且处理请求中没有出现 PDF 内容，就支持该具体流程为本地处理。如果出现携带文件的大型 POST 或 PUT，则已经发生远程传输。
HTTPS 不等于“本地处理”
HTTPS 只负责加密浏览器与服务器之间的通信，并不说明文档是否留在设备上。
离线测试：顺序很重要
应先加载工具，再断开网络，最后才选择合成文档。如果在断网前选择 PDF，它可能已经上传。
网络流量中要看什么
重点检查大型 POST/PUT、multipart/form-data、application/pdf、上传端点和临时存储。blob: 结果与浏览器内生成相符，但不能单独证明整个流程都在本地。
不要把遥测和 PDF 传输混为一谈
页面可以发送分析或性能指标而不发送文档。一个很小的统计事件，与包含数百 KB PDF 的请求并不是同一件事。
使用 canary PDF，而不是私人文档
测试陌生服务时，创建带唯一标记的合成 PDF，并在请求、body、metadata 或 response 中查找该标记，避免暴露真实数据。
POST PUT multipart/form-data application/pdf blob:
我们的可复现研究观察到了什么
2026年9月5日，我们只测试了五个服务的合并 PDF，使用两个 canary PDF，并在预加载后断网进行了第二次运行。结果仅描述该操作和该日期。
| Service | Observed result · Merge PDF · 2026-09-05 |
|---|---|
| UMyPDF | 未观察到传输；预加载后离线完成 |
| Smallpdf | 观察到远程文档传输 |
| iLovePDF | 观察到远程文档传输 |
| PDF24 Tools | 观察到传输和远程合并请求 |
| Adobe Acrobat Online | 观察到远程文档传输 |
快速检查清单
- 使用不含个人数据的合成文档。
- 加载工具并等待初始化完成。
- 选择文件前先断网。
- 确认操作能生成有效结果。
- 在线重复并检查 POST/PUT、大小、content type 和域名。
- 区分 Web 遥测与文档传输。
- 记录日期、浏览器、具体操作和限制。
避免三种错误结论
- “用了 HTTPS，所以不会上传 PDF。”HTTPS 只保护传输。
- “离线能用，所以永远不会上传。”这只适用于测试过的流程。
- “看到了 Analytics，所以 PDF 被上传了。”遥测和文档传输应分开判断。
测试能证明什么、不能证明什么
可复现测试可以证明在定义条件下观察到了传输，或某项操作在本地完成。它不能自动推广到所有模式或未来版本。
如果你只是想处理 PDF
PDFPrivado 已发布的14个工具使用合成文档进行过审计：预加载后14/14都能在无网络状态完成流程。在线对照在处理阶段未观察到文档传输。完全离线冷启动不属于该结论。
常见问题
HTTPS PDF 网站可以上传我的文件吗？
可以。HTTPS 加密连接，但不会阻止把文件发送到服务器。
没有网络也能工作就证明完全本地吗？
如果文件是在断网后选择的，这对测试过的流程是强证据，但不能覆盖所有模式。
blob: 表示什么？
它指向浏览器内可用的对象，应结合之前的网络流量一起判断。
应该用真实文档测试吗？
最好不要。请使用带唯一标记的合成 PDF。