“离线更安全”属于那种被重复到不再传递任何信息的说法。每一款注重隐私的工具都把它写在首页上，我这一款大体上也不例外。
所以它值得拆开来看。其中有些部分是直截了当地成立的，而且比人们意识到的更重要。另一些则被夸大到了会误导人的地步。分清哪句是哪句，你才能做出一个合理的决定，而不是跟着一句口号走。
离线真正能给你的东西
文件永远不会变成别人的事
这才是真正的那一条，其余的都只是它的脚注。
你一旦上传一份文档，它就不再只属于你。它存在于一台你无法检查的机器上，由一套你无法审计的安全措施保护着，保留多久是别人告诉你的，而不是你能亲眼看到的。这里面不需要任何人心怀恶意。事情本来就是这么安排的。
在你自己的电脑上处理这份文件，意味着上面这些都不成立。没有第二份副本，没有保留策略，也没有哪家公司会在 2029 年发生数据泄露，顺手把你 2026 年的合同一起带出去。文件的安全取决于你自己的机器——而这台机器你本来就得保护好。
你不再需要相信任何人的条款
免费的在线工具需要一种商业模式。有时是广告，有时是付费档位，有时则是服务条款不动声色地把你所上传内容的广泛权利授予了这家公司。这类条款往往写得足够宽泛，把”改进产品”也涵盖进去——而在今天，这可能包括训练机器学习系统。
有不少服务在这件事上写得既谨慎又具体。这里的重点不是说某一家做得不好——而是离线处理直接取消了整个问题。没有条款需要解读，也没有条文需要盯着。
合规问题不复存在
如果你的 PDF 里有别人的个人数据——一名员工的病假条、一份客户合同、一张患者名单——把它上传到第三方服务，就是一次个人数据的传输，随之而来的还有相应的文书工作。在 GDPR 之下，你通常需要一个合法依据，以及一份与该服务商签订的协议。
而把文件拖到免费网站上的人，几乎没有谁手里有这些。在本地处理意味着这次传输根本没有发生，也就没有什么需要记录在案。
断网的时候它照样能用
这一条不那么戏剧化，但确实有用。飞机上、火车上、酒店的 wifi、客户那边被严格限制的网络。本地工具对此毫不在意。
这个说法在哪里失效
接下来是营销文案里通常会跳过的部分——跳过它的人当中，也包括那些本该更清楚的人。
离线不是杀毒软件
这是最要紧的一条。在本地处理一份文档，对于让一份恶意文档变得无害，起不到任何作用。任何处理 PDF 的程序都必须先读取它——解析它的结构、解码它的图片、解释它的字体。我的程序也不例外。如果这份文件本来就是为了攻击打开它的软件而做出来的，那么在本地打开它，就意味着它攻击的是你本地的软件。
“本地”说的是你的数据去了哪里。它说的不是这份文件会做什么。谁把这两件事混为一谈，谁就是在推销东西。
你自己的机器并不会自动就是安全的
一台操作系统没打补丁、没有磁盘加密、还和别人共用同一个登录账号的笔记本电脑，不会仅仅因为什么都没上传就变成一座堡垒。如果你担心的威胁是有人拿到了这台设备，那么离线处理完全解决不了这个问题。
装上的软件本身也是一个攻击面
你安装的每一个程序都可能存在缺陷。一款本地 PDF 工具，就是运行在你电脑上、能够访问你文件的代码，它理应接受和你安装的其他任何东西一样的审视：它从哪里来，你能不能校验下载到的文件，有没有别人在看它的源代码。
这就是为什么我会在下载页面为每一个构建版本公布 SHA-256 校验和，并且让源代码保持公开。这不是为了好看——而是因为”相信我，它是离线的”恰恰就是本文所反对的那种无法验证的说法。
在线工具不是坏人
它们大多由普通公司运营，做着普通的工作，有真正的安全团队和诚实的政策。对于一份公开的说明书，或者一张从政府网站上下载的表格，上传完全没问题，那份便利也值得拥有。
能了结大部分争论的那个问题
人们在这件事上意见不一，通常是因为他们在不知不觉中比较着不同的风险。把”你实际担心的到底是什么”说明白会很有帮助，因为答案会完全不同。
如果你担心某家公司读取或留存你的文档——竞争对手的供应商、一个陌生的免费服务、一家位于你宁可避开的司法辖区的服务商——离线处理彻底解决了这个问题。根本没有副本可读。
如果你担心将来某个时候发生数据泄露——离线又一次胜出，而且理由很容易被低估。一家从来没拿到过你文件的公司发生泄露，你不可能被卷进去。大多数人面临的风险并不是有针对性的攻击，而是成为某个几年前只用过两次的服务的数据库里的一行记录。
如果你担心监管机构或客户来问数据去了哪里——离线要简单得多。”它在本地处理，从未被传输出去”就是一个完整的答复。除此之外的任何情况，都需要一份数据处理协议和一串书面记录。
如果你担心有人偷走你的笔记本电脑——离线处理完全帮不上忙。真正管用的是磁盘加密和一个像样的密码，而在这件事上，云存储甚至可能帮到你。
如果你担心一份文档会攻击你的电脑——离线起不到任何作用，而这正是最值得彻底消除的一个混淆。一份恶意 PDF，无论在哪里被打开，它都是恶意的。
三个明确的胜场，两个明确的答非所问。这是一份比”离线更安全”有用得多的总结，它也解释了为什么这句话既显得理所当然，又有点空。
怎样逐个文件地做决定
你不需要一套制度。你只需要在上传之前问自己一个问题：
如果这份文件出现在一个陌生人的收件箱里，我会觉得无所谓吗？
觉得无所谓？那就上传它，继续过你的一天。犹豫了一下——因为里面有一个薪资数字、一个地址、一个客户的名字，或者某件还没公开的事？这份犹豫就是你的答案，这份文件值得在本地处理。
在实际使用中，这一问能把大多数人的文档干净地分成两堆。一边是公开的、用完即弃的，另一边是私人的和工作上的。第二堆比你以为的要小，但重要得多。
具体到实际使用是什么样
PDF Manipulator 把那些日常操作——合并、拆分、转换为 Word、加密、压缩、删除页面——都放在你自己的机器上完成。没有账号，没有上传，也没有云端组件，因为根本不存在可供连接的对象。
老老实实地把取舍再说一遍：
- 你得安装一个程序。在线工具不需要这一步，在一台不属于你的电脑上，这是一个实实在在的优势。
- 它是桌面应用程序，所以在手机上帮不了你。
- 它保护的是你的隐私。它不会让一份怀有恶意的 PDF 变得无害。
简单来说
“离线更安全”在一个具体而重要的意义上是对的：你的文档永远不会变成别人的责任。而在人们最常设想的那个意义上，它是错的，因为它对恶意文件毫无作用。把这两点同时记在心里，决定就变得容易了——公开的文件哪里方便就放哪里，凡是里面带着名字或数字的，都留在你自己的机器上。
看看 PDF Manipulator 能做什么——免费、离线、源代码公开 →
参考来源
- GDPR Article 28 — processors and data processing agreements
- GDPR Article 6 — lawfulness of processing
- NIST, FIPS 180-4: Secure Hash Standard (SHA-256)
