一份"删干净了"的文件，其实什么都没说

分享一个真实类型的案例：某公司发招标附件前把文档正文里的公司抬头、内部编号都改成了通用字样，自认为处理得很干净。结果竞争对手拿到 PDF 一看属性——作者：某某部门张工，单位：XX集团，创建时间、软件版本、甚至历史修订记录全在。正文删得再干净，元数据把底交了。

元数据（metadata）就是"关于文件的数据"：谁创建的、什么软件做的、什么时间、修订过几轮。PDF 的元数据尤其丰富，而且默认全部保留。绝大多数人不知道它们存在，更不知道它们会跟着文件传到哪去。

PDF 元数据里一般有什么

用任意 PDF 属性面板或exiftool打开，常见字段：

• 标题 / 作者 / 主题 / 关键词：写作软件自动填的，作者字段泄露人名和单位是重灾区；
• 创建程序 / 生产程序：暴露内部软件栈和时间线；
• 创建时间 / 修改时间：两个时间对不上说明文件被二次处理过——对敏感材料，这本身就是信息；
• XMP 数据包：Adobe 系的扩展元数据，藏在文件里的一段 XML，普通属性面板不一定展示全；
• 隐藏层级的东西：被"删除"的批注和修订记录、文档级附件（有的文件里挂着旧版草稿）、隐藏图层。

最后一条最狠：正文干净不等于文件干净。Word 转 PDF 前的"删除文档属性和个人信息"选项不勾上，批注、修订历史可能整包带进 PDF。

谁应该在意

• 法务/投标/采购：外发文件的元数据可能构成泄密，很多纠纷的起点就是一份没人看过的"文件属性"；
• 媒体和公文发布者：新闻配图、公开报告的拍摄位置、作者信息，都可能被拿来做逆向挖掘；
• 个人用户：把带 GPS 的照片（或合成的 PDF）直接发社交平台，等于公布家庭住址和出行规律——这是老牌隐私课了，只是大家还是会忘。

判断标准一句话：文件离开你的控制范围之前，问自己"看到这份文件属性的陌生人，能得到什么我不希望他得到的信息"。

清理：先查看，再删除

正确的顺序是先看见、再动手，不然你不知道要清什么。查看工具推荐exiftool（命令行，全格式通吃）：

exiftool contract.pdf# 看全部字段exiftool-apiLargeFileSupport=1contract.pdf# 大文件加这个参数

删除分两个层次：

# 1) 常规元数据字段清空（先备份！exiftool 会直接改文件）exiftool-all=contract.pdf# 2) 保留必要字段的保守清理（只清个人字段）exiftool-Author=-Artist=-Creator=-CreatorTool=-LastModifiedBy=contract.pdf

-all=是核选项，清完部分阅读器会显示"未知作者"，一般无所谓；但如果文件有合规要求保留创建日期，就用第二种定向删除。

别忘了 XMP 和隐藏对象：-all=清不掉某些嵌入的 XMP 块和注释对象。所以清理后要复查——再次 exiftool 看一遍，再用阅读器打开检查批注面板是否为空。只清不查，等于没清。

不想装命令行的场景

偶尔处理一两份文件，不值得搭环境：在线的 PDF 元数据查看/清除工具走浏览器就能完成，本地处理型（文件不出本机）的更稳妥，具体操作和字段说明我整理在这份页面里：清除 PDF 元数据教程。企业场景则建议把清理做成外发流程的固定环节（脚本批处理目录里的所有 PDF），比每次靠自觉可靠得多。

小结

元数据的麻烦在于它默认存在、默认随行、默认没人看。给外发文件做元数据清理的正确心智，和出门前撕快递单是一样的：不是有人一定会来查，而是撕掉的成本是零。把"查看 → 清理 → 复查"固化成发文件前的最后十秒，很多不该发生的暴露就永远不会发生。

你们处理过最离谱的元数据泄露是什么场景？评论区开开眼。