无需上传的免费 PDF 工具（文件保留在本地）

当你把 PDF 拖入典型的在线工具 — iLovePDF、Smallpdf、PDF2Go、Sejda 等许多工具 — 文件被发送到服务器，在那里处理，再把结果发回。网站的隐私政策通常说文件会在几小时后删除。需要权衡的三件事：

• 文件在别人的磁盘上存在一段时间。 几小时、几天，或无限期 — 你无法验证。
• 服务器看到解密后的内容。 如果 PDF 是敏感的（合同、病历、税表、未发表的手稿），那内容现在就在你无法控制的基础设施上。
• 元数据随文件一起传输。 作者、创建日期、编辑历史 — 全都在服务器上。

对于一次性的表情包 PDF，这些都不重要。对于任何有隐私、保密或合规维度的内容，"以上传换免费"是一笔坏交易。

本地优先 PDF 工具做服务器会做的同样工作，但在你的浏览器内。文件通过 File API 读入内存，交给 Web Worker（一个后台线程，以免界面冻结），用 JavaScript PDF 库或编译后的 WASM 处理。结果写入 Blob 并以下载形式提供。文件在任何时刻都不会离开你的设备。

关键技术：

• File API — 把文件从磁盘读入内存中的 ArrayBuffer。
• Web Workers — 在后台线程上运行繁重的 PDF 解析，让页面保持响应。
• JavaScript PDF 库（pdf-lib、PDF.js） — 在浏览器中解析和修改 PDF 结构。
• WASM — 用于把原生代码库（例如 qpdf、mupdf）编译后在浏览器中以接近原生的速度运行。
• Blob + URL.createObjectURL — 无需服务器往返即可生成下载。

权衡：一切都在你的设备上运行，所以非常大的文件或非常慢的机器会比快速服务器更慢。好处：文件永不离开你的设备，且页面加载后工具可离线工作。

以下每个工具都完全在你的浏览器中运行。投入文件，取出结果，文件从不触及服务器。

下面的表格对权衡保持诚实。上传型服务在大文件上通常更快（强大的服务器），并提供浏览器中难以做到的功能（OCR、AI 摘要）。本地优先工具在隐私、离线工作和无需账户上胜出。

• 隐私： 本地优先胜出。文件永不离开你的设备。上传服务看到全部内容。
• 大文件速度： 上传服务常胜 — 它们在快速服务器上运行。本地工具受你的设备限制。
• 账户/注册： 本地优先工具不需要。许多上传服务把功能挡在账户之后。
• 离线： 本地优先在页面加载后可离线工作。上传服务不能。
• 功能： 上传服务提供需要后端的 OCR、AI 等功能。本地优先工具限于浏览器能做好的事。
• 文件大小上限： 上传服务限制文件大小（免费档通常 50–100 MB）。本地优先工具受你的设备内存限制，而非服务器策略。

当文件敏感、当你在慢或按量计费的连接上不想上传 50 MB 文件、当你离线、或你只是不想创建账户时，使用本地优先工具。当你需要浏览器做不好的功能（扫描文档的 OCR、AI 摘要、转换为可编辑 Office 文件）且文件不敏感时，使用上传服务。如果文件敏感而你需要服务器端功能，请用本地工具（qpdf、ghostscript、Tesseract OCR）在你自己的机器上运行该功能，而非第三方网站。

"私密 PDF 工具"、"无需上传的免费 PDF 工具"和"本地 PDF 工具"从三个角度描述同一想法。私密的 PDF 工具不把你的文件 — 或从中派生的任何东西 — 发送到服务器。无需上传的工具是文件永不离开你设备的工具。本地工具是处理发生在你浏览器中的工具。三者都指向同一架构属性：不存在承载文档字节的网络路径。

本页以"无需上传"作为主要框架，因为它最具体、最可验证 — 你可以打开浏览器的"网络"标签，看到没有请求携带文件。"私密"是同一保证，只是用运营者不能做什么（披露、泄露、丢失）而非网络不做什么（上传）来表述。

一个 PDF 工具是私密的，当且仅当按设计它无法看到你的文件内容。具体而言：无上传、无服务器端处理、无包含文件内容、文件名、元数据或抽取文本的遥测。工具可以从 CDN 加载自己的代码，但你交给它的文档永不离开你的浏览器。这比承诺"24 小时后删除你的文件"的隐私政策更强。政策是承诺；本地优先处理是技术保证。如果代码没有上传路径，就没有什么要强制的 — 功能的缺失就是证明。

隐私优先并非免费。权衡：

• 无服务器端功能。 OCR、AI 摘要和转换为可编辑 Office 文件需要后端。私密工具无法诚实地提供它们。
• 受你的设备限制。 慢笔记本上的 500 MB PDF 会慢。一台 32 核服务器会更快。
• 无跨设备同步。 如果你在笔记本上开始，工具在手机上不会知道。没有账户，没有服务器端状态。
• 无"最近文件"历史。 没有本地或服务器存储，工具不记得你处理过什么。

对于大多数日常 PDF 任务 — 合并、拆分、压缩、旋转、水印、转换 — 这些都不重要。浏览器够快，文件够小，隐私收益是真实的。

在 GDPR（欧盟）和 CCPA（加利福尼亚）下，处理个人数据的组织必须：有合法依据、披露其收集内容、尊重删除请求、保护数据，并（在 GDPR 下）通常任命数据保护官并维护处理记录。一个把充满个人数据的 PDF 上传到另一司法管辖区服务器的工具，会触发所有这些义务 — 对工具运营者，也可能对用户。

一个完全在用户浏览器中处理 PDF 的工具不收集个人数据。没有转移、没有存储、没有运营者侧的处理、没有跨境数据流。运营者没有什么要披露、要泄露、要删除。合规不是正确文书工作的问题 — 它是架构的结构性属性。

这并不免除用户自己的义务（如果你在业务中处理个人数据，你仍是控制者），但它把工具供应商从处理者链条中移除。对任何关心数据最小化的组织而言，这是有意义的简化。

IXPDF 的架构记录在我们的隐私页 和关于页。简而言之：

• 不收集： PDF 内容、文件名、元数据、抽取文本、处理结果、密码、API 密钥。
• 可能收集（分析，若启用）： 聚合的、非识别性元数据 — 页面浏览、工具名、成功/失败、耗时区间、文件大小区间。分析事件中从不含文档内容。
• 不使用： 账户、用于追踪的 Cookie、第三方 PDF API、云存储、广告 SDK。

分析层被设计为诚实：如果未配置测量 ID，它是 no-op。即使配置了，它也无法携带文档内容，因为那样做的代码路径不存在。

"私密"是任何人都能使用的营销词。要验证，检查三件事：(1) 页面加载后，工具能否离线工作？断网后失效的工具在与服务器通信。(2) 打开浏览器开发者工具的"网络"标签并处理一个文件 — 如果你看到文件字节外发，它不是本地的。(3) 阅读隐私政策：如果它说文件"N 小时后删除"，那文件本来就在服务器上。真正私密的工具没有什么要删除，因为什么也没收到。

IXPDF 通过全部三项检查。处理文件时，"网络"标签只显示初始页面加载。隐私政策反映的是架构，而非保留计划。