敏感 PDF 别交第三方，本地处理最稳
免费在线 PDF 工具大多走「上传 → 服务器处理 → 下载」的链路。好几家隐私科普站点都指出，绝大多数「免费在线 PDF 工具」靠把你的文件传到它们服务器处理，处理完再传回（NoUploadTools 的科普、DraftPDF 的分析）。「免费」的代价，往往是你成了被分析、被留存的那一方。
几条判断：
多数免费在线 PDF 工具的处理链路是「上传 → 服务器处理 → 下载」，文件在对方机器上至少停留一会儿，期间可能被留存、被备份、被员工接触（Bisnep 的拆解）。
合同、身份证扫描件、简历、病历这种含敏感信息的 PDF，一旦上传就脱离了你的控制；按《个人信息保护法》，证件、行踪等都属于敏感个人信息（中央网信办条文），乱传有合规风险。
本地处理能彻底绕开这条链路：文件全程只在你浏览器里解析和重组，不联网、不上传。
PDF 自己还会「藏话」——作者名、批注、修改历史、旧版本可能一并跟着文件走，这类隐形泄露和「上不上传」无关（CleanPDF 的科普）。
在线 PDF 工具，到底把你的文件送去了哪
你点「压缩」或「合并」的时候，流程通常是这样的：文件通过 HTTPS 传到服务商服务器，在服务器上被解密、处理，处理完再存一份等你下载，过一阵子（常见 1 到 24 小时）才「删除」。加密保护的是传输过程，文件一到服务器就被拆开了，后面发生什么你基本看不见（DraftPDF 分析）。
问题不在「它们说会删」。问题在于：
- 服务器可能被攻破，你的文件处理期间正躺在上面；
- 员工出于「质检、防滥用」等理由，隐私条款里往往留了访问通道；
- 备份和缓存可能把文件多留几周甚至几个月，「删除」常常是「标记删除」，数据还在磁盘上；
- 服务商在境外的话，还可能受当地调取要求约束（Bisnep 拆解）。
一篇科普说得很直白：免费工具里，你常常不是客户，而是被变现的那部分（NoUploadTools）。这听着刺耳，但逻辑站得住——服务器要钱，不收你钱就得从别处来。
合同、证件这类 PDF，为什么最不能上传
普通人最常上传的，偏偏就是最危险的几类：劳动合同和 offer（含薪资、岗位）、NDA（连「存在这份协议」本身都该保密）、银行流水和税单（含账号、收入）、护照和身份证扫描件（身份盗窃的原材料）。这些文件一旦经手第三方服务器，等于把核心隐私交出去过一道手（SlatePDF 的风险分级）。
法律上也绕不开。《个人信息保护法》把证件、行踪、金融账户等明确列为敏感个人信息，处理这类信息有更严的要求（中央网信办条文）。你是个人用户也好、帮公司处理文件也好，把含敏感个人信息的 PDF 随手传去不知名站点，风险都不是「理论上」的。
一个常被忽视的点：你上次传的那份合同，可能三年后还在某台备份里。等真出事，你早忘了传过它（NoUploadTools 的「泄露会随时间叠加」一段）。攻击者习惯把多次泄露拼起来——你的名字地址从一处来，身份证号从另一处来，签名字样从某份合同来，凑成一套完整的「冒用材料」。
PDF 里的「隐形信息」，比你想的多
就算你不传网，单纯把 PDF 发出去也有坑。Word 转 PDF 时，作者名、公司用户名、创建和修改时间、用的什么软件，常常原样带进文件属性；修订痕迹、批注、被「删除」却还躺在增量更新里的旧内容，也可能留在结构里（CleanPDF 科普）。
这不是危言耸听，有真实翻车案例：
- 2003 年英国政府一份伊拉克大规模杀伤性武器报告，被媒体发现元数据显示大量内容抄袭自一篇学生论文，还带着原版错别字，直接成了国际丑闻（PDF 元数据科普记录）。
- 一家巴黎律所发给媒体的保密文件，隐形元数据里露出了被放弃的辩护策略和内部吐槽，声誉和赔偿都付出了代价（同上来源）。
隐私机构 Privacy Path 还记过一个更隐蔽的：一份对外公开的「数据共享协议」 PDF，肉眼看着干净，可 Ctrl+F 一搜，蹦出来四处在可见正文里根本没出现的第三方机构名字——是前版模板没清干净的残留（Privacy Path 案例）。
所以「本地处理」解决的，是「上传泄露」那一截；隐形元数据这截，得靠自己发文件前清一遍属性、搜一遍隐藏文字。两件事不冲突，都得做。
本地工具箱怎么用：五件事一次说清
这个 PDF 工具箱 直接在浏览器里跑，不用注册、也不联网，文件更不会上传。它能干五件事，全程都在你本机完成：
合并。 把多个 PDF 按顺序拼成一个。顺序按你加入文件的先后排，可以多次选、后选的排在后面；不满意就在列表里逐个移除重选（官网 FAQ 也这么写）。拖进来、排好、点合并，完事。
拆分提取。 只把你指定的页码抽出来成新文件。页码从 1 开始，支持「1-3,5,7-9」这种写法。原文件不会被改动，没选的页也不会跑到结果里——不用担心「拆一页把整本都带出去」（同上 FAQ）。
旋转。 把某些页顺时针转 90 / 180 / 270 度。它是「叠加」当前角度，转多次会累加，符合大多数人直觉；扫描件歪了、手机拍的竖版想摆正，用这个。
压缩。 重排 PDF 内部的对象流来减小体积。能小多少看原文件：扫描版、没优化过、对象冗余多的，效果明显；本身就高度优化的，空间有限。全程本地，文件不上传。
图片转 PDF。 手机拍的证件、白板、票据，直接转成 PDF，不用先传去某个 App 的云。
整个过程的要害就一句：你的文件从头到尾没离开这台设备。 想验证也简单——打开浏览器开发者工具的网络面板，操作时看不到任何带文件内容的外发请求，那就真是本地在跑。