PDF文档元数据的安全风险：合规审计中不可忽视的隐患

一份 PDF 的元数据里，通常藏着什么

文档属性是最容易被忽略的一层：作者姓名、所属公司、创建与最后修改时间、生成这份文件的程序与版本、累计编辑时长、修订次数。这些内容在绝大多数阅读器里点一下"文件属性"就能看到，收件人不需要任何技术能力。

第二层是隐藏内容：批注与修订痕迹、未显示的可选内容层、与背景同色的文字对象、以及嵌入附件——有时是一整份早期草稿的表格。它们不出现在阅读视图里，但随文件一起被转发。

第三层是扫描件特有的：OCR 生成的文本层。它让文件变得可检索，同时也让里面的姓名、身份证号、金额变成了可以被全文搜索到的内容——很多人给扫描件做了 OCR 之后，文件的敏感度其实上升了，而不是下降。

为什么合规审计会专门查这一项

《个人信息保护法》对个人信息的界定是"与已识别或者可识别的自然人有关的各种信息"。作者姓名加上公司名加上精确到分钟的时间戳，已经足以定位到具体的人；在对外交付的场景里，这就是未脱敏的个人信息。

在数据出境场景中，元数据随文件一起出境。很多企业花了力气判断正文能不能传，却没有检查随文件带出去的作者名、内部系统名和修订记录——这些同样是出境内容的一部分。

还有一类容易被忽略的风险是过程数据：修订记录本身就是谈判过程的痕迹。把带修订痕迹的合同发给对方，等于把己方的让步过程一并交出去。

清理的正确顺序

• 先看，再清。清理之前先列出文件里有什么——文档属性、批注、隐藏对象、嵌入附件各有哪些。只执行"一键清理"而不看清单，出了问题无法复核。
• 另存副本。原件不动，处理在副本上进行。涉及证据效力的文件尤其如此。
• 清完再验一次。重新打开文件属性看一次，确认字段确实被清掉，而不是相信工具的"已清理"提示。
• 扫描件单独判断。扫描件没有可删除的对象层，可见标记需要先 OCR 建立文字层，再对被覆盖区域做重建，这是另一类操作。

需要说清楚边界：清理元数据是文档处理，不是法律意见。如果一份文件是否应当被清理由监管要求决定（例如证据保全要求保留原始文件），应当先确认再操作。

对外发送前的四步检查

• 打开文档属性，看作者、公司、标题、关键字四个字段里有没有不该出现的信息；
• 确认批注与修订痕迹已处理——这是最常见的一项遗漏；
• 确认没有嵌入附件；
• 如果文件是扫描件且做过 OCR，抽查搜索一个敏感词，确认文本层里没有残留。