为什么敏感 PDF 不能随便传？浏览器端工具是答案
简历、合同、财务报表——上传到陌生网站可能留痕 24 小时甚至更久。我改用浏览器本地处理敏感 PDF。
2025 年底某招聘平台被曝「用户上传简历 PDF 在测试环境未脱敏可访问」，虽然官方称已修复，但 HR 朋友还是来问我：在线 PDF 工具到底安不安全？今天把话说透。
三类我最谨慎的 PDF
- 劳动合同、报价单：含金额、条款、签章。
- 简历 + 身份证扫描：个人信息密度极高。
- 财务票据、银行流水：合规要求严，泄露后果大。
这三类，我不会上传到名字都没听过的「免费 PDF 在线转换」。
传统在线工具的风险
- 文件上传到服务器：传输链路 HTTPS 也挡不住服务端留存。
- 保留时间不透明：有的写 1 小时，有的写「最长 24 小时」，还有的根本没写。
- 数据出境：服务器在境外，等于跨境传输，公司合规可能直接卡你。
不是说所有上传型工具都邪恶，而是敏感文档不值得赌。
浏览器端处理是什么意思
以 TwoThink 为例：JavaScript + WebAssembly 在你电脑里跑 合并 PDF、加密 等逻辑，字节流不离开浏览器。关标签页，内存里的数据就没了；0 服务器 = 0 服务端留存。
这对 HR、财务、自由职业者特别友好——处理完下载，痕迹在本机。
[图片：浏览器开发者工具 Network 面板，处理 PDF 时无文件上传请求]
和「不用注册」的关系
不注册减少账号泄露面；不上传减少文件泄露面。两个叠加，才是对敏感 PDF 的合理姿态。本站 博客评测 里也对比过几家工具的差异。
实操建议
- 外发前加密：PDF 加密 设打开密码，密码别和文件一起发。
- 能合并别多份传：多份简历合成一份再内部分享，减少传播点。
- 公司电脑走规范：企业有 DLP 的，优先用 IT approved 方案；个人工具适合个人文档。
- 公共 WiFi 少处理机密：本地处理虽不上传，但恶意热点可能劫持网页，敏感操作留到可信网络。
怎么判断一个工具上不上传
打开开发者工具 → Network → 处理 PDF 时看有没有 multipart/form-data 大请求飞向陌生域名。TwoThink 处理过程中你应该看不到 PDF 文件被 POST 出去。
结尾
敏感 PDF 不是「方便第一」，是「泄露成本第一」。浏览器端工具把风险压到本机可控范围内，这是我坚持写 TwoThink 的原因之一。