先说结论
对不敏感的文件，若服务条款适合这个任务，上传可以是合理选择。保存期限和访问权限随提供者和功能而异；删除倒计时本身不能说明每份副本去了哪里。
问题不在于他们说谎，而在于你根本没办法判断他们有没有说谎。文件一旦离开你的机器，之后那些说法就全靠你信：留多久、谁够得着、有没有被复制进一个比删除定时器活得更久的备份、公司被卖掉或者被攻破时它会怎样。这些从外面一样都看不见。
所以真正有用的问题不是“我信不信这个站”，而是“这件事非得让我的文件离开不可吗”。越来越多的活，答案是不用；而只要答案是不用，那个信不信的问题，你就不必回答了。
“上传”到底做了什么
上传是把文件数据从浏览器发给另一台计算机，可能是原文件，也可能是转换后的副本。选择文件本身不等于上传，本地工具可以读取而不发送它。
服务器处理可能产生工作文件、标识请求的日志、缓存结果和备份。这些应在服务条款里核查，不是每家必定制作三份副本。外部浏览器测试不能验证内部删除或保存。
文件名和内嵌元数据可能随上传一起发出。照片可能包含位置、时间、相机或软件信息及缩略图，实际字段取决于设备、设置和编辑。应该检查文件，不要假定每张手机照片都有这些数据。
为什么多数工具还是要上传
不是因为他们想要你的文件，而是因为在网页存在的大半时间里，压根没有别的办法。浏览器解不了视频，也没法按指定质量重编一张图，更别说解析文件格式；而一台装着 FFmpeg 和 ImageMagick 的服务器可以。上传不是商业模式，那是活儿唯一能干的地方。
这件事在不久前悄悄地不成立了。浏览器现在带着 WebAssembly，能以接近原生的速度跑同样那些编译好的编解码器；带着 WebCodecs，能直接用上你机器里本来就有的硬件视频编码器；还有一套 Canvas 接口，能直接解码和重编图片。当年非服务器不可的活，如今就跑在那台本来就拿着文件的设备上。
仍然有大量工具在上传，其中一些理由是正当的：一条现成的处理流水线没人想重写、某个格式在浏览器这边确实没有解码器、某件活对手机来说真的太重。也有不那么正当的理由：账号、配额和付费档位都长在服务器上。一个完全跑在你浏览器里的工具，是很难按次计费的。
四项你自己就能做的检查
用你打算使用的具体操作和输入来检查。每项回答问题的一部分，组合起来比单独一项更可靠。
1. 断网做本地操作
等工具完全加载，若有离线缓存，就等状态显示就绪。断网后处理设备上的文件。完成能证明这次操作在断网时不需要服务器。失败也可能因为资源缺失或浏览器功能不支持，不能证明上传。成功离线运行也不能说明重连后的行为；离线指南解释这个边界。
2. 检查请求
操作前打开开发者工具，清空列表并保留日志。查看目的地、URL 参数、请求体和 WebSocket 消息。传输大小栏经常显示响应大小，小请求也能承载提取或压缩后的数据，不能靠匹配文件大小判断。普通请求列表也不显示 WebRTC 对等连接的载荷；这类功能需要读传输代码并使用浏览器的 WebRTC 诊断。
3. 阅读 Content-Security-Policy
connect-src 指令限制 fetch、WebSocket 等 API 的目的地。已允许的第三方主机仍能收到数据。其他指令约束图片、表单和资源，WebRTC 对等流量不在这个主机列表里。CSP 是约束，不是载荷审计，也不是单独的“不上传”证明。
4. 在源码中追踪数据
比较公开源码和生成代码。沿着选定文件检查 fetch、XMLHttpRequest、sendBeacon、WebSocket、RTCPeerConnection，也看表单、资源 URL 和应用交接。这些只是示例，不是全部路径。关键是每条路径拿到了什么数据，平台和反馈脚本也要检查。
“在你的浏览器里跑”不等于什么
这话得说准，因为它被用得很松，而本站既然这么要求别人，就得用同一把尺子量自己。
- 不等于一条请求都没有。页面本身就是从网上来的，而多数免费工具都带着广告或者统计，那些要跟别人说话。这句承诺说的是你的文件，不是泛指所有流量。
- 不等于藏起你的 IP 地址。你访问的每个网站都看得到它，本站也一样。本地处理管的是你文件里的内容，不是匿名。
- 只要有一个功能要去取东西，这句话在那儿就不成立。让你粘一个网址的工具必须去联系那个地址，而那台服务器就知道了你的 IP 和你要的是什么。这是这个功能自带的性质，不是它的缺陷，但它确实是个例外，工具就该照直说，别抹圆过去。
- 它不等于“我们删除你的文件”。本地处理说明某次操作在哪里完成。保存期限是服务商收到数据之后如何处理的另一个说法。不要把任何一句直接当成隐私保证，应读实现和联网功能的边界。
什么时候上传确实没问题
这篇不是在说所有上传都是错的。内容不敏感、传上去更省事，那就传；活儿对你的设备来说确实太重，那就传；格式在浏览器这边确实没有解码器，那就传；或者你用的本来就是一家你已经有关系、条款也真读过的服务，那也传。
要更小心的，是那些你不会公开发出去的文件：身份证件、医学影像、合同，任何带着你无意分享的住址或者面孔的东西，还有那种你压根没看过位置信息的照片。这些，宁可选一个你能核实的工具，而不是一个你只能信任的工具。这不是因为被信任的那个多半会辜负你，而是因为在能核实的那个面前，这个问题根本不会出现。
这四项检查，本站自己答一遍
一篇让别人去查、自己却要求豁免的指南，那也太奇怪了。所以，按顺序来：
- 离线。本地处理在资源加载、缓存就绪后可以断网完成。网址图片、在线汇率和浏览器引见需要各自连接。
- 请求。处理代码不上传所选文件。页面访问和主动的固定反馈属于另一类请求。汇率请求包含货币对和日期；主动的对等功能向选定浏览器发送内容。
- 策略。多数工具继承平台目的地。收据工具加入 Frankfurter，分享和远程摄像头加入引见服务器。策略约束目的地，不能证明每条载荷。
- 源码。源码公开，可以自行构建并比较输出。共享模块和内置引擎与本站代码一起可读。
隐私页完整说明边界：网址图片导入、可选的收据汇率和应用交接、浏览器间分享、远程摄像头，以及广告、Analytics 和固定反馈。主动传送不同于上传文件去处理。
本地处理的例子包括按目标大小压缩、裁剪视频、删除 EXIF 和 GPS、图片合成 PDF。要核查支持格式和下载结果。这些任务无须上传处理或账号。
