# 把文件传给在线转换器安全吗？

老实的回答通常是：“多半没事，但你没法核实。”这一页讲上传到底把你的文件怎么了，为什么多数工具至今还这么干，以及四项检查，能看出你眼前这一个是不是非上传不可。

最后更新 2026年10月12日

## 先说结论

对不敏感的文件，若服务条款适合这个任务，上传可以是合理选择。保存期限和访问权限随提供者和功能而异；删除倒计时本身不能说明每份副本去了哪里。

问题不在于他们说谎，而在于**你根本没办法判断他们有没有说谎**。文件一旦离开你的机器，之后那些说法就全靠你信：留多久、谁够得着、有没有被复制进一个比删除定时器活得更久的备份、公司被卖掉或者被攻破时它会怎样。这些从外面一样都看不见。

所以真正有用的问题不是“我信不信这个站”，而是**“这件事非得让我的文件离开不可吗”**。越来越多的活，答案是不用；而只要答案是不用，那个信不信的问题，你就不必回答了。

## “上传”到底做了什么

上传是把文件数据从浏览器发给另一台计算机，可能是原文件，也可能是转换后的副本。选择文件本身不等于上传，本地工具可以读取而不发送它。

服务器处理可能产生工作文件、标识请求的日志、缓存结果和备份。这些应在服务条款里核查，不是每家必定制作三份副本。外部浏览器测试不能验证内部删除或保存。

文件名和内嵌元数据可能随上传一起发出。照片可能包含位置、时间、相机或软件信息及缩略图，实际字段取决于设备、设置和编辑。应该检查文件，不要假定每张手机照片都有这些数据。

## 为什么多数工具还是要上传

不是因为他们想要你的文件，而是因为在网页存在的大半时间里，压根没有别的办法。浏览器解不了视频，也没法按指定质量重编一张图，更别说解析文件格式；而一台装着 FFmpeg 和 ImageMagick 的服务器可以。上传不是商业模式，那是活儿唯一能干的地方。

这件事在不久前悄悄地不成立了。浏览器现在带着 WebAssembly，能以接近原生的速度跑同样那些编译好的编解码器；带着 WebCodecs，能直接用上你机器里本来就有的硬件视频编码器；还有一套 Canvas 接口，能直接解码和重编图片。当年非服务器不可的活，如今就跑在那台本来就拿着文件的设备上。

仍然有大量工具在上传，其中一些理由是正当的：一条现成的处理流水线没人想重写、某个格式在浏览器这边确实没有解码器、某件活对手机来说真的太重。也有不那么正当的理由：账号、配额和付费档位都长在服务器上。一个完全跑在你浏览器里的工具，是很难按次计费的。

## 四项你自己就能做的检查

用你打算使用的具体操作和输入来检查。每项回答问题的一部分，组合起来比单独一项更可靠。

### 1. 断网做本地操作

等工具完全加载，若有离线缓存，就等状态显示就绪。断网后处理设备上的文件。完成能证明这次操作在断网时不需要服务器。失败也可能因为资源缺失或浏览器功能不支持，不能证明上传。成功离线运行也不能说明重连后的行为；[离线指南](https://abox.tools/zh/guides/how-can-a-web-page-work-offline/)解释这个边界。

### 2. 检查请求

操作前打开开发者工具，清空列表并保留日志。查看目的地、URL 参数、请求体和 WebSocket 消息。传输大小栏经常显示响应大小，小请求也能承载提取或压缩后的数据，不能靠匹配文件大小判断。普通请求列表也不显示 WebRTC 对等连接的载荷；这类功能需要读传输代码并使用浏览器的 WebRTC 诊断。

### 3. 阅读 Content-Security-Policy

[connect-src 指令](https://www.w3.org/TR/CSP3/#directive-connect-src)限制 fetch、WebSocket 等 API 的目的地。已允许的第三方主机仍能收到数据。其他指令约束图片、表单和资源，WebRTC 对等流量不在这个主机列表里。CSP 是约束，不是载荷审计，也不是单独的“不上传”证明。

### 4. 在源码中追踪数据

比较公开源码和生成代码。沿着选定文件检查 fetch、XMLHttpRequest、sendBeacon、WebSocket、RTCPeerConnection，也看表单、资源 URL 和应用交接。这些只是示例，不是全部路径。关键是每条路径拿到了什么数据，平台和反馈脚本也要检查。

## “在你的浏览器里跑”不等于什么

这话得说准，因为它被用得很松，而本站既然这么要求别人，就得用同一把尺子量自己。

- **不等于一条请求都没有。**页面本身就是从网上来的，而多数免费工具都带着广告或者统计，那些要跟别人说话。这句承诺说的是你的*文件*，不是泛指所有流量。
- **不等于藏起你的 IP 地址。**你访问的每个网站都看得到它，本站也一样。本地处理管的是你文件里的内容，不是匿名。
- **只要有一个功能要去取东西，这句话在那儿就不成立。**让你粘一个网址的工具必须去联系那个地址，而那台服务器就知道了你的 IP 和你要的是什么。这是这个功能自带的性质，不是它的缺陷，但它确实是个例外，工具就该照直说，别抹圆过去。
- **它不等于“我们删除你的文件”。**本地处理说明某次操作在哪里完成。保存期限是服务商收到数据之后如何处理的另一个说法。不要把任何一句直接当成隐私保证，应读实现和联网功能的边界。

## 什么时候上传确实没问题

这篇不是在说所有上传都是错的。内容不敏感、传上去更省事，那就传；活儿对你的设备来说确实太重，那就传；格式在浏览器这边确实没有解码器，那就传；或者你用的本来就是一家你已经有关系、条款也真读过的服务，那也传。

要更小心的，是那些你不会公开发出去的文件：身份证件、医学影像、合同，任何带着你无意分享的住址或者面孔的东西，还有那种你压根没看过位置信息的照片。这些，宁可选一个你能核实的工具，而不是一个你只能信任的工具。这不是因为被信任的那个多半会辜负你，而是因为在能核实的那个面前，这个问题根本不会出现。

## 这四项检查，本站自己答一遍

一篇让别人去查、自己却要求豁免的指南，那也太奇怪了。所以，按顺序来：

- **离线。**本地处理在资源加载、缓存就绪后可以断网完成。网址图片、在线汇率和浏览器引见需要各自连接。
- **请求。**处理代码不上传所选文件。页面访问和主动的固定反馈属于另一类请求。汇率请求包含货币对和日期；主动的对等功能向选定浏览器发送内容。
- **策略。**多数工具继承平台目的地。收据工具加入 Frankfurter，分享和远程摄像头加入引见服务器。策略约束目的地，不能证明每条载荷。
- **源码。**[源码公开](https://github.com/A-Box-of-Tools/website)，可以自行构建并比较输出。共享模块和内置引擎与本站代码一起可读。

[隐私页](https://abox.tools/zh/privacy/)完整说明边界：[网址图片导入](https://abox.tools/zh/images-to-video/)、可选的[收据汇率和应用交接](https://abox.tools/zh/receipt-invoice-extractor/)、[浏览器间分享](https://abox.tools/zh/share-text/)、[远程摄像头](https://abox.tools/zh/remote-camera/)，以及广告、Analytics 和固定反馈。主动传送不同于上传文件去处理。

本地处理的例子包括[按目标大小压缩](https://abox.tools/zh/compress-image/)、[裁剪视频](https://abox.tools/zh/crop-video/)、[删除 EXIF 和 GPS](https://abox.tools/zh/exif-editor/)、[图片合成 PDF](https://abox.tools/zh/images-to-pdf/)。要核查支持格式和下载结果。这些任务无须上传处理或账号。

![工具的隐私面板，显示本地处理说明、源码位置和已加载资源的实时摘要。](https://abox.tools/screens/is-it-safe-to-upload-files/pledge.webp)

面板把主张和对应源码放在眼前。资源摘要能提醒你检查浏览器自己的请求，但不能独立检查载荷。