上周，我检查了一份即将发送的 PDF 的元数据。里面仍然有我的全名、公司内部的文件路径，以及过去一个月里每次修改的精确时间戳。

页面看起来很干净。但文件本身并不干净。

大多数人在分享 PDF 之前从来不会打开属性面板。可见的内容吸引了所有的注意力。但文件本身能透露的信息远比页面上打印的内容多得多，而这个隐藏层正是本文要讨论的。

简短的回答

PDF 元数据可能包含你的姓名、使用的软件、创建和修改时间戳、修订历史、批注，甚至嵌入图片中的 GPS 坐标。

移除元数据有几种选择：

  • 使用元数据编辑器或清理工具来剥离特定字段
  • 使用像 exiftool 这样的命令行工具来获得完全控制
  • 将 PDF 转换为扫描风格的图像化文件，这会替换整个文档结构并一次性移除所有隐藏数据

如果文档已经定稿并即将发送到组织外部，最后一种选择是你能采取的最彻底的单步操作。

PDF 元数据到底包含什么

PDF 可以在页面可见内容之外携带三层信息。

第一层是文档属性。这是大多数人想到的元数据：作者姓名、标题、主题、创建日期、修改日期以及生成文件的软件。在任何 PDF 阅读器中打开文件，查看"文件 > 属性"，你很可能会看到类似"作者：张三"和"生成器：Microsoft Word 2021"这样的字段。这些信息会随文件一起传播到任何地方。

第二层是 XMP 和嵌入元数据。这一层不那么显眼，但通常更具揭露性。如果你的 PDF 包含嵌入的图片，这些图片可能仍然携带原始的 EXIF 数据，包括相机型号、时间戳和 GPS 坐标。XMP 元数据还可以包含编辑历史、自定义标签和字体许可信息。大多数人不知道这一层的存在，因为标准 PDF 阅读器不会显示它。

第三层是隐藏的结构数据。根据 PDF 的创建和编辑方式，文件可能包含修订历史、已删除但可恢复的文本、批注、注释、表单字段默认值、隐藏图层、JavaScript 以及嵌入的文件附件。当这一层泄露时造成的损害最大，因为它可能包含作者以为已经移除的内容。

如果你已经在上传文件到在线工具的场景中考虑过这类隐藏数据，在线 PDF 工具处理敏感文档安全吗？涵盖了更广泛的信任模型。

为什么这比人们想象的更重要

元数据泄露并不是戏剧性的。它们是悄无声息的、具体的，而且一旦文件被分享就很难撤回。

需要匿名时的作者身份识别。 如果 PDF 是由特定人员创建的，作者字段或内部文件路径可以追溯到他们。这对举报人、匿名报告、泄露的文档或任何发送者身份应该保持在文件之外的情况都很重要。

修订历史暴露谈判策略。 一份仍然包含修订跟踪或修订元数据的合同 PDF 可以揭示你的初始立场、你删除了什么、以及你在发送最终版本之前软化了什么。对方不需要技术能力就能偶然发现这些。一些 PDF 阅读器会自动显示修订数据。

时间戳揭示敏感时间信息。 创建和修改日期告诉别人文档是什么时候开始的、什么时候最后修改的、以及被操作了多少次。在法律、合规或竞争环境中，这类时间信息可能比内容本身更重要。

嵌入图片中的 GPS 坐标。 如果你把一张照片粘贴到 PDF 中，而那张照片仍然携带 EXIF 位置数据，那么拍摄图片的 GPS 坐标现在就嵌入了文件中。大多数人不会想到这一点，因为元数据存在于图像对象内部，而不是在 PDF 属性面板中。

软件版本暴露内部工具。 像"生成器：Adobe Acrobat Pro DC 24.1.30225"或"创建器：Microsoft Word for Microsoft 365"这样的字段会告诉别人你的组织使用什么工具和版本。对大多数文档来说这无关紧要。但在敏感场景中，这是不必要的信息泄露。

以上这些都不是假设的情况。它们就是实际发生的那些平淡的元数据泄露。

如何检查你的 PDF 包含哪些元数据

在移除任何东西之前，先看看文件中实际有什么。

PDF 阅读器属性对话框。 在大多数 PDF 阅读器中，“文件 > 属性"或"文档属性"会显示基本字段：作者、标题、主题、创建日期、修改日期和生成应用程序。这能捕捉到第一层，但几乎遗漏了其他所有内容。

命令行中的 exiftool。 运行 exiftool document.pdf 会显示所有内容：文档属性、XMP 数据、嵌入图片的 EXIF 以及自定义字段。这是最完整的检查方法，但需要熟悉终端操作。如果你以前从未使用过，仅仅为了看看一个 PDF 能包含什么，也值得安装它。

在线元数据查看器。 一些网站允许你上传 PDF 来检查其元数据。如果你检查元数据的原因就是隐私，那么将文件上传到第三方服务来检查它是一个值得怀疑的做法。你正在试图查明文件是否泄露信息，而第一步就是把它发送给一个陌生人。

一旦你知道文件中有什么，问题就变成如何移除它。

移除 PDF 元数据的方法

没有单一的最佳方法。正确的选择取决于你需要保留什么以及需要多彻底。

Adobe Acrobat（清理文档）

Acrobat Pro 包含"移除隐藏信息"和"清理文档"功能，可以剥离元数据、隐藏文本、批注、表单数据、附件和其他不可见内容。如果你需要保持文本层完整且文件可搜索，这是最完整的方法之一。

限制是它需要付费的 Acrobat Pro 许可证。如果你已经有了，这是一个很好的选择。如果没有，这种问题本身不足以证明订阅的合理性。

exiftool 和其他命令行工具

exiftool 可以精确地移除特定的元数据字段，或一条命令剥离 PDF 中的所有内容。它是免费的，可以在任何平台上运行，并且可以精确控制移除的内容。

限制是技术门槛。它还侧重于元数据字段而非结构性隐藏数据。如果 PDF 包含修订历史、隐藏图层或嵌入对象，exiftool 不会捕捉到这些。它在其擅长的领域做得很好，但不能覆盖每一层。

在线元数据移除工具

一些网站允许你上传 PDF、剥离元数据，然后下载清理后的版本。工作流程简单，不需要安装任何软件。

限制应该很明显。你正在将文档上传到第三方服务器以解决隐私问题。这有点像把日记交给一个陌生人，让他帮你撕掉写有地址的那一页。

如果文件是低风险的，这可能是一个可以接受的交换。如果你移除元数据的原因是文档敏感，这种方法恰恰引入了你试图避免的那种暴露。关于这种权衡的更多讨论，在线 PDF 工具处理敏感文档安全吗？有详细介绍。

打印为 PDF

通过虚拟打印机重新打印 PDF 会创建一个新文件，通常会剥离一些元数据并扁平化某些元素。它是免费的，内置在大多数操作系统中。

结果是不一致的。有些虚拟打印机会在输出中注入自己的元数据。有些会剥离 XMP 数据，有些则不会。嵌入图片的 EXIF 可能会也可能不会在这个过程中存活下来。如果你使用这种方法，一定要验证结果而不是假设它是干净的。

转换为扫描风格的 PDF

这种方法将 PDF 的每一页转换为图像，然后将这些图像包装成一个新的 PDF。因为整个文档结构被替换了，所有隐藏数据都被移除了：元数据、文本层、批注、修订历史、嵌入文件、表单字段、JavaScript，一切。输出是一个只包含渲染后页面图像的新 PDF。

代价是文件不再可文本搜索。它的行为就像每一页的图片。对于已经定稿并即将发送到组织外部的文档，这个代价通常是值得的。对于仍需要搜索、引用或在下游编辑的文档，则不值得。

这正是 Look Scanned 所做的工作。它在浏览器中本地将 PDF 转换为扫描风格版本，因此文件永远不会离开你的设备。结果是一个干净的图像化 PDF，没有隐藏数据、没有文本层、没有来自原始文件的元数据，也不需要担心服务器端处理。

对比

方法移除文档属性移除隐藏图层移除图片 EXIF保持文本可搜索需要上传费用
Adobe Acrobat（清理）是是取决于设置是否付费
exiftool / 命令行是部分是是否免费
在线元数据工具通常是通常不是有时是是免费
打印为 PDF部分部分有时通常是否免费
扫描风格转换（如 Look Scanned）是是是否否（本地浏览器）免费

没有哪一行适用于所有情况。问题始终是：对于这个特定的文件，哪些权衡是重要的。

每种方法适用的场景

文档仍在编辑中。 使用 Acrobat 或 exiftool 剥离元数据。保留文本层。此阶段的元数据移除是日常维护，不是主要事件。

文档已定稿并将发送到组织外部。 如果可搜索性不关键，扫描风格转换是最彻底的单步操作。它一次性移除所有内容。如果文件仍需可搜索，改用 Acrobat 的清理功能，并验证结果。

文档高度敏感。 组合使用多种方法。先进行适当的涂黑处理，然后清理元数据，最后进行扫描风格转换。每个步骤覆盖不同的层。如果涂黑是你工作流程的一部分，黑条不等于涂黑解释了为什么视觉遮盖是不够的。

你不确定文件中有什么。 先用 exiftool 或属性面板检查。然后根据你发现的内容和文件的去向做出决定。在了解需要移除什么之前就选择移除方法，要么过度要么遗漏数据。

如果你正在权衡扫描风格的 PDF 是否适合你的情况，扫描版 PDF 与可编辑 PDF：你应该发送哪一种？更广泛地涵盖了这个决策。

我实际使用的工作流程

  1. 先完成文档内容。不要在仍在修改的文件上清理元数据。
  2. 检查最终导出文件的元数据。至少查看"文件 > 属性”。如果重要的话，使用 exiftool。
  3. 根据发现的内容和目的地的敏感程度进行移除或清理。
  4. 如果文件要发送到外部且不需要可搜索，我会将其转换为扫描风格的 PDF。Look Scanned 在浏览器中处理这一步，无需上传文件。
  5. 在新的阅读器中打开结果并验证。检查属性，尝试选择文本，搜索应该已经消失的内容。

最后一步能捕捉到比人们预期更多的残留数据。

如果扁平化对你的情况已经足够，而你不需要完整的扫描风格转换，发送前如何扁平化 PDF涵盖了这个中间方案。

常见问题

转换为扫描版 PDF 会移除所有元数据吗？

是的。转换为图像化 PDF 会替换整个文件结构。结果不包含文本层、没有隐藏对象、没有来自原始文件的文档属性，也没有嵌入的文件元数据。输出是一个只包含渲染后页面图像的新 PDF。

有人能从扫描风格的 PDF 中恢复元数据吗？

不能从 PDF 本身恢复。原始结构已经消失。新文件中唯一的元数据是转换工具写入的内容，例如它自己的生成器标签。如果转换在浏览器中本地进行，也不存在服务器端的副本。

移除元数据和涂黑是一回事吗？

不是。元数据移除剥离的是隐藏属性和文档级别的数据。涂黑移除的是页面上的可见内容。如果你需要从页面本身移除姓名、数字或文本，这是一个单独的步骤，必须在元数据清理之前完成。黑条不等于涂黑解释了为什么仅靠视觉遮盖是不够的。

我应该对每个发送的 PDF 都移除元数据吗？

不一定。对于已经公开或低风险的常规文档，元数据是无害的。当文档敏感、接收者是外部人员或作者身份应该保持在文件之外时，这个问题才变得重要。

最后的想法

大多数人在发送 PDF 之前从来不会检查文件透露了关于他们的什么信息。

文件可能是干净的。或者它可能包含你的姓名、你的修订历史以及你上周二在咖啡店编辑时的 GPS 坐标。

如果文档重要到需要谨慎分享，那就重要到需要检查。而如果检查发现的比你预期的多，在你点击发送之前有直接有效的方法来修复它。