文档 · PDF 工具包

验证 PDF 工具永远不会上传您的文件：网络面板演练

2026年7月15日 · 工作原理

pdf 隐私网络检查

您不必相信隐私声明；你可以看网络。这篇文章展示了如何打开浏览器的网络面板，运行 PDF 操作，并读取结果，以及严格的内容安全策略告诉您有关第三方代码的信息。

信任，但要检查 - 为什么“没有上传任何内容”是一个可测试的声明而不是营销路线

可以测试“没有上传任何内容”，因为上传需要从页面或其工作人员观察网络活动。合规性审查应使用无害的、独特的测试文档而不是机密材料，然后将运行时请求与存储库中的源和自动网络隔离测试进行比较。

一次干净的运行可以证明该构建、浏览器、同意状态和操作的行为。它并不验证每个未来的部署或浏览器扩展。记录测试的URL、日期、操作和请求日志。精确的证据比无法复制的广泛保证更有用。

打开开发者工具并选择网络，然后选择测试文件。 Chromium、Firefox 和 Safari 将其放置在开发者界面中，尽管标签有所不同。仅在需要导航请求时才保留日志；否则在页面及其静态脚本加载后清除它以隔离操作本身。

首先保持所有请求类型可见，包括 fetch、XHR、脚本和工作线程。除非测试计划需要这些状态，否则不要禁用缓存或分析。经同意的生产会话可以合法地加载公开的 Google 分析资源，因此任务是确定文档字节或标识文件字段是否进入请求。

选择具有可识别无害文本的合成 PDF 并运行合并、拆分或其他操作。观看请求列表从选择到完成和下载的整个过程。上传通常会显示为新的提取或 XHR，其中包含请求正文、多部分表单数据或二进制有效负载，其时间遵循文件选择或运行。

工具包应该将字节传输到本地 Web Worker，这不会显示为文档请求。 PDF-to-image 在调用时从同一站点加载捆绑的 pdf.js 代码，并使用其工作程序进行解析；画布编码保留在主线程上。代码资源加载并不等同于发送选定的 PDF。

检查新的请求 URL、方法、启动器、标头和正文。静态 JavaScript、CSS、字体和同源工作模块支持该页面，但不包含所选字节。在请求负载中搜索独特的测试短语或文件名，同时记住二进制上传可能不会在每个面板中呈现为可读文本。

还要检查时序。在选择之前开始的请求不能包含后面的文件。从 Blob 发起的下载可能会显示浏览器内部行为而不是服务器响应。消息来源确认结果字节在本地包装并传递到共享 Blob 下载帮助程序，而不是从输出 URL 获取。

该大纲期望有严格的策略来证明没有外部脚本、字体或标签加载，但当前的隐私内容允许在规范生产主机上进行经同意的分析。检查响应标头和实际发起者树，而不是断言策略结果。 Google 分析脚本是第三方代码，单独披露。

ToolAcre 事件使用封闭字段列表，其中排除 PDF 内容、文件名、粘贴的文本、URL 和确切的文件大小。该设计减少了暴露，但不会使分析请求在同意后消失。正确的报告将“没有请求携带文档字节”与错误的声明“页面根本不发出外部请求”区分开来。

对于多兆字节测试，清除面板，选择 PDF，等待页数，运行拆分，下载输出，然后清除文件。标记每个阶段发生的请求。预期的处理间隔有工作人员消息和进度更改，但没有包含源文档的网络条目。

如果分析行为在范围内，则在拒绝同意的情况下重复一次，在生产主机上授予同意的情况下重复一次。比较日志。在这两种情况下，文档路径都应保留在本地，而分析资源行为可能会有所不同。仅当合成文档不包含敏感材料时才保留屏幕截图或 HAR。

网络检查证明观察到的数据移动，而不是开发人员的意图、测试路径之外的隐藏行为或扩展和操作系统的安全性。源代码检查对其进行了补充：操作处理程序调用工作程序、渲染器、Blob 构建、ZIP 创建和下载帮助程序，而不是上传 API。

自动隔离测试增加了可重复性，但仍然受到其场景的限制。当批准涵盖整个工具包时，审查所有提供的操作，包括图像水印和转换。重大部署更改后重新检查。当运行时观察、实施、测试和发布的措辞都一致时，隐私声明是最有力的。

PDF 工具包的设计使所选文件进入浏览器内存和本地处理，而不是应用程序端点。清晰的网络面板应显示转换期间没有携带 PDF 的请求。这是演练可以验证的狭隘的、有道理的主张。

单独记录公开的分析，记录同意和主机条件，并避免将静态资源视为上传。然后保留证据进行审查。验证不是一次性的信任仪式；而是一种一次性的信任仪式。这是一个可重复的过程，可以准确地捕获未来的回归，因为预期的边界已明确说明。测试多个操作还可以防止批准本地合并路径，同时忽略具有单独运行时依赖项的不同转换分支。