PDF 是合同、发票、证件扫描件、报税单和病历的标准载体。当你急需合并、压缩或转换一份 PDF 时，搜索引擎会列出几十款免费在线工具。然而，几乎所有主流 PDF 服务在友好拖拽界面的背后都隐藏着一个事实：你的文件会被上传到远程服务器，而你几乎无法掌控之后发生的事情。
想理解这件事的严重性，先看服务端 PDF 工具的运行方式。当你在典型的在线 PDF 合并/转换页面上选中文件时，浏览器会通过 HTTPS 把整份文件发送到厂商的存储后端。服务器执行真正的处理逻辑——qpdf、Ghostscript、无头 LibreOffice 或自研流水线——生成结果后再流回你的浏览器。文件至少在任务执行期间驻留在厂商的磁盘上，很多时候会保留更久。
处理完成后，不同厂商对文件的去留政策差异巨大。有的几分钟内就删除文件，有的保留数小时、数天甚至「直到你从用户面板手动删除」。还有少数厂商明确声明文件可能被人工审阅，用于「质量、安全或滥用预防」。这句话藏在隐私政策里很容易被忽略，但它意味着陌生人可能打开你的报税单或已签署的租约。
数据泄露风险让问题更严峻。即使厂商奉行严格删除政策，也无法保证文件被彻底销毁。备份、日志附件、错误追踪系统、对象存储快照都可能保留副本数月之久。一旦厂商遭遇数据泄露，这些「孤儿副本」正是攻击者最想要的。PDF 文档密度极高——姓名、地址、签名、身份证号、银行账户——这让 PDF 工具服务器成为高价值目标。
现实案例并不少见。注重隐私的用户常引用 2017 年 DocuView 数据暴露事件，以及主流在线转换器文件泄露至第三方索引的多次报告。TinyPNG 在 2019 年披露过一起泄露 API key 和源数据的事件。这些都不是抽象风险，而是「让用户上交文档」这种业务模式的必然结果。
好消息是，判断一个工具是否在上传你的文件只需几秒钟。打开浏览器开发者工具，切换到 Network（网络）标签，再开始转换。如果看到向 S3 存储桶、API 端点或任何非当前域名的 POST 请求并伴随较大上传体积，说明你的文件正在离开设备。真正本地处理的工具不会出现这种上传——所有工作都在页面的 WebAssembly 沙箱内完成。
Neetpix 的设计基于相反的假设。所有 PDF 操作——合并、拆分、压缩、加水印、加密、旋转、裁剪、加页码、PDF 转 Word——都在浏览器中完成，使用 qpdf、pdf-lib、PDF.js 的 WebAssembly 版本。你选择的文件永远不会离开设备。没有上传端点，没有服务端存储，也没有人工审阅流水线。唯一的网络流量就是页面本身。
浏览器本地模型在隐私之外还有实际好处。因为没有上传/下载的往返开销，处理立即开始，速度取决于你的 CPU。一份 50 页的合并在服务端工具上需要约 30 秒的往返时间，在 Neetpix 中通常 2-3 秒就能完成。对于连续处理多个文件的批量工作流，时间节省会累积放大。
评估任何在线 PDF 工具时，看三个信号。第一，明确的「100% 本地处理」标识，并附带技术说明——WebAssembly、浏览器内、无上传。第二，用开发者工具自测确认没有文件上传。第三，隐私政策中不出现文件留存或人工审阅的字眼。三者缺一，就应将其视为服务端工具，无论营销话术如何。
PDF 承载着你最敏感的信息。免费在线工具的便利，不值得以合同泄露或身份被盗为代价。试试我们的 PDF 合并 或 PDF 转 Word，打开网络面板观察：没有任何东西离开你的设备。一旦你体验过浏览器本地 PDF 工具，上传式模型就会开始显得像旧时代的遗物。