PDF 合并、图片压缩、格式转换都要先把文件传到别人的服务器。哪些文件适合传、哪些必须本地处理，这里给一条可执行的分界线。
把 PDF 合并、把图片压小、把视频转格式，这类操作在浏览器里就能完成，代价是文件要先上传到别人的服务器。上传之后文件会发生什么，取决于对方的实现，而不取决于页面写得多好看。
一条简单的分界线
先问自己一个问题：这份文件如果明天出现在公开搜索结果里，会不会有麻烦？
会，就不要上传。包括身份证与护照扫描件、银行流水、劳动合同、体检报告、未公开的财务报表、带客户名单的表格、含源码的项目压缩包。这些文件请用本地软件处理，LibreOffice、图片查看器自带的导出、系统的截图工具都能完成大部分操作。
不会，可以上传。包括公开的产品图、已经发布的文档、需要转格式但内容公开的素材。即便如此，也建议先做一次脱敏：删掉页眉页脚里的姓名与电话，把内网地址打码。
上传前的四件事
1. 看域名。是工具的官方域名，还是某个短链跳转过去的镜像站。镜像站的功能可能一样，但日志与留存策略完全不可控。 2. 找隐私条款。重点看"文件保留多久"和"是否用于模型训练"。写着"保留 24 小时后自动删除"比什么都不写可信，但仍以实际行为为准。 3. 检查是否需要注册。要求手机号注册的工具，意味着你的号码会和文件产生关联，这比匿名上传的风险高一档。 4. 关掉"公开分享"。有些工具默认生成一个可访问的分享链接，处理完记得删除文件而不是只关掉页面。
更稳的做法：本地或自托管
对隐私要求高的场景，优先选可自托管或纯前端运行的工具。纯前端的典型特征是：断网之后功能仍然可用，因为文件根本没有离开浏览器。自托管则意味着文件落在自己的服务器上，比如 Stirling PDF 这类可以自行部署的 PDF 工具箱。
判断是不是纯前端，有个土办法：打开开发者工具的网络面板，传一个文件，看有没有向外部地址发起上传请求。没有请求，就是本地处理。
处理完之后
删除云端文件、清空下载目录、退出账号。听起来琐碎，但真正出问题的场景，往往不是被人攻破，而是文件在某个没人记得的临时目录里躺了半年。