如何在PDF中正确删除敏感信息

PDF 脱敏失误已造成真实损害。2011 年，一家律师事务所在公开法庭案件中意外提交了一份未脱敏的文件——"已脱敏"的文字上方覆盖着黑色方块，但文字仍保留在 PDF 数据中，任何人都可轻松提取。2019 年，美国国家安全局发布了一份脱敏报告，其中被涂黑的内容可以被高亮选中、复制，并以明文形式阅读。

这些失误有一个共同原因：脱敏是视觉层面的，而非结构层面的。黑色方块不等于脱敏。本指南将解释两者的区别，展示如何正确进行脱敏，并说明如何验证脱敏操作是否真正移除了底层内容。

黑色方块的问题

一个 PDF 页面可以包含相互叠加的多层内容。当你使用基本注释工具在文字上方绘制黑色矩形时，实际情况是：

1. 原始文字仍以可搜索、可选取、可复制的数据形式保留在 PDF 中
2. 一个黑色矩形注释覆盖在其上方

文字在视觉上被隐藏，但在结构上依然存在。任何人只要：

• 全选并复制文字
• 执行文字搜索
• 移除或隐藏注释
• 使用任意 PDF 文字提取器处理该文件

……都能看到"已脱敏"的内容。

这不是脱敏，这是遮掩，它会失效。

真正的脱敏必须从 PDF 的数据结构中移除底层内容，而不仅仅是在视觉上将其遮盖。

正确的脱敏原理

正确的脱敏包含三个步骤：

1. 标记待脱敏内容：确定需要移除的文字或区域
2. 烧录脱敏标记：用不透明标记（通常为黑色）替换已标记内容，并从 PDF 结构中永久删除底层数据
3. 清理元数据：移除元数据、隐藏文字层以及其他可能包含脱敏信息的不可见数据

第 2 步是关键。烧录脱敏标记后，文字所在的 PDF 页面内容流应被覆写，而非仅仅被遮盖。

如何使用 LuraPDF 对 PDF 进行脱敏

LuraPDF 的 Redact PDF 工具执行结构性脱敏——它会移除底层内容，而不只是遮盖它。

第 1 步：上传并定位内容

打开 LuraPDF Redact PDF 工具并上传你的文档，浏览至包含敏感内容的页面。

第 2 步：标记脱敏区域

在需要脱敏的内容上方绘制矩形。你可以：

• 拖动选取文字区域
• 在图片或图形元素上绘制方框
• 在同一页面上标记多个区域后再统一应用

第 3 步：应用脱敏

点击"应用脱敏"。这将触发烧录过程：每个标记区域下方的内容将从 PDF 数据中永久删除，并以纯黑色填充取而代之。

第 4 步：验证

下载后，打开脱敏后的 PDF，尝试以下操作：

• 在脱敏区域选取并复制文字（应无任何内容返回）
• 搜索已脱敏的词语（应搜索不到任何结果）

在分享任何涉及法律、医疗或敏感内容的文件之前，此验证步骤必不可少。

LuraPDF 脱敏的内容范围

• 文字：从 PDF 内容流中提取并移除
• 图片：标记区域内的图片数据被裁除
• 注释：脱敏区域内的所有注释（批注、高亮）均被移除

同样需要清理：元数据

在对可见内容进行脱敏后，不要忘记处理元数据。PDF 中通常包含：

• 作者姓名
• 所属机构名称
• 创建应用程序
• 修订历史和编辑日期
• 其他部分的批注和注释

脱敏完成后，使用 LuraPDF Remove Metadata 删除这些信息。当元数据本身属于敏感信息时（例如，作者姓名可能暴露某位匿名信源的身份），此步骤尤为重要。

高风险脱敏场景

对于法律、医疗或国家安全类文件，请考虑以下额外步骤：

法庭文件：许多法院对脱敏格式有具体要求，请参阅法院的文件管理指南进行核实。部分法院明确要求脱敏颜色为黑色（而非灰色或白色）。

医疗记录：受 HIPAA 约束的文件要求移除全部 18 类身份识别信息，包括日期、州级以下的地理数据、电话号码、电子邮件地址、URL、社会安全号码和病历号码。

政府文件（信息自由法）：美国《信息自由法》规定的脱敏操作须符合特定法律标准。脱敏过多（过度脱敏）与脱敏不足同样可能带来法律问题。

受律师-当事人特权保护的文件：涉及工作成果特权的脱敏内容，在提交前应由律师审查。

验证脱敏结果

脱敏完成后、发送文件之前：

1. 在纯文字查看器或 PDF 阅读器中打开脱敏后的 PDF
2. 使用"全选"+"复制"，将内容粘贴到文本编辑器中——确认没有已脱敏的文字出现
3. 搜索你打算脱敏的特定词语
4. 打开文件属性，确认元数据已清理干净
5. 如有条件，请同事尝试访问已脱敏的内容

为获得最高保障，可考虑将脱敏后的 PDF 打印为新 PDF（使用操作系统的"打印为 PDF"功能）。这将把整个文档"扁平化"为纯视觉内容，消除原始文件中残留的所有数据结构。

常见问题解答

我用高亮覆盖了文字，这算真正的脱敏吗？ 不算。高亮注释在外观上与黑色方块相同——文字依然保留在 PDF 数据中。只有结构性脱敏（即删除底层内容）才是真正的脱敏。

可以对扫描版 PDF 进行脱敏吗？ 可以，但方式有所不同。扫描版 PDF 本质上是图片。在图片区域上方绘制覆盖区域会有效永久移除相应像素——无需担心底层文字数据的问题。LuraPDF 的脱敏工具能正确处理基于图片的 PDF。

脱敏功能适用于受密码保护的 PDF 吗？ 请先使用 Unlock PDF 移除密码，然后再进行脱敏。

应用脱敏后能撤销吗？ 不能。脱敏在设计上是永久且不可逆的操作。在脱敏之前，请将未脱敏的原始文件保存在安全存储位置。

白色脱敏（白色方块）与黑色方块效果相同吗？ 在结构层面是相同的——只要内容已从 PDF 数据中移除，替换填充的颜色仅是外观问题。但按照惯例以及许多法规要求，应使用黑色。白色方块看起来像内容缺失而非经过脱敏，可能引起混淆。

一份正确脱敏的文件与一份"仅被遮盖"的文件，肉眼看来毫无差异——但对任何查看视觉层以下数据的人来说，区别一目了然。当风险较高时，请务必验证。如有疑问，请使用正确的结构性脱敏，而非覆盖方块。