更新于 2026 年 10 月 23 日

理解本地与远程 PDF 的隐私边界

跟随 PDF 从本地文件或公开 URL 到 PDF.js，了解浏览器内存、Cloudflare 下载、统计与输出的数据边界。

本地输入留在浏览器

选择、拖放或粘贴本地 PDF 后，页面获得该文件的访问权限。PDF.js 使用浏览器 Worker 解析，绘制画布并编码图片 Blob。本地文档内容和生成图片不会发送至转换服务器。

页面和 PDF.js 运行时资源仍需从网站加载。浏览器扩展、设备权限、下载文件和剪贴板历史属于不同的隐私边界。本地处理不能保护已被入侵的设备，将 PDF 转成图片也不是可靠的涂黑脱敏方法。

导入公开 URL 时，浏览器将地址发送至同源下载 API。Cloudflare Pages 函数与独立 Worker 会接触 URL 和 PDF 字节；Worker 下载并校验文档，再交给浏览器内的 PDF.js。这些服务端组件必然会接触远程文档。

网关不持久保存或缓存 PDF，响应使用 no-store，应用日志排除文档正文和完整 URL。为提供服务与防止滥用仍需处理网络元数据。远程网站会收到针对所提交地址的网关请求，查询令牌也属于 URL，不应将签名链接视为匿名。

应用将队列与导入 URL 保存在页面内存。主题和语言使用浏览器存储，主动选择语言还会写入第一方 Cookie。清空结果仅释放应用持有的已完成结果，不会删除已经下载或复制的文件。

配置后的转换器页面可能加载 GA4，其 Cookie、页面和设备数据与 PDF 转换不同。应用不会主动把 PDF 内容或导入 URL 加入统计事件。AdSense 关闭；服务提供商及未来广告同意要求详见隐私政策。