涂黑失效是最稳定复发的文档错误之一。法院文件、政府报告、递交监管机构的材料和企业合同都曾被公开发布，而其中的敏感内容任何人只要选中涂黑区域并按下 Ctrl+C 就能还原。涉事机构并非粗心的业余人士——他们是配有专职文档人员的律师事务所和政府部门。
错误始终是同一个，而它源于对「PDF 究竟是什么」这一问题的合理误解。本指南讲解实际发生了什么，以及如何处理文档，让信息被真正删除，而不只是被遮住。
为什么黑色方块不算涂黑
PDF 页面并不是一张页面的图片，而是一组分层的指令：用这种字体、在这些坐标上绘制这段文字；在这里绘制这张图像；把这个矩形填充为黑色。PDF 阅读器按顺序执行这些指令，然后把结果呈现给你。
当你用批注或绘图工具在一个姓名上盖一个黑色矩形时，你并没有删除绘制该姓名的那条指令，而是新增了一条随后执行、把矩形填充为黑色的指令。两条指令都仍在文件中。阅读器先绘制姓名，再在上面涂色——视觉上姓名被遮住了，结构上它仍在原处分毫未动。
任何有意为之的人都能还原这些文字，而且完全不需要专业工具：复制粘贴、自动文本提取器，或者干脆删除批注图层——许多 PDF 编辑器一键即可完成，因为批注本来就被设计成可移除的。
涂黑失效的四种方式
表面性的黑色方块是最常见的失效方式，但并非唯一。以下四种基本可以解释现实中所有的涂黑泄露：
| 失效方式 | 实际做了什么 | 如何泄露 |
|---|---|---|
| 表面遮盖 | 在文字上放置黑色矩形、高亮或图像 | 复制粘贴；删除批注图层 |
| 只删除了可见图层 | 移除了可见的文本对象，但未处理页面的文本流 | 文本提取工具照样能找到 |
| 遗漏元数据 | 涂黑了页面内容，却未触碰文档属性 | 作者、原始文件名、修订历史、批注 |
| 可还原的拼合 | 内容已拼合，但文档仍保留撤销或修订历史 | 早期版本可从增量保存中恢复 |
最后一种尤其值得注意，因为它是隐形的。PDF 支持增量保存：文件被编辑时，改动可以追加到文件末尾，而不必重写整个文件。这意味着一份文档可能包含它自己的早期版本。如果你涂黑了一个姓名，而编辑器采用增量保存，那么涂黑之前的那个版本可能仍完整可读地留在文件里——就在你所看到的那一版之下。
真正的涂黑做了什么
真正的涂黑是移除内容，而不是遮蔽内容。正确的实现会执行若干个彼此独立的操作：
- 删除底层的内容对象。涂黑区域内的文字字符、图像数据或矢量路径会从页面内容流中移除——不是被盖住，而是被移除。
- 在原处绘制一个不透明标记。通常是黑色矩形，让读者知道有材料被扣留。这一步人人都做得对；但若没有上一步，它毫无意义。
- 完整重写整个文件。输出会被写为一份全新的 PDF，而不是追加到原文件之后，从而消除增量保存历史以及任何可恢复的早期版本。
- 清理相关元数据。文档属性、内嵌批注、表单字段值和附件都会被清空，因为敏感数据在这些地方都可能藏身。
四步完成 PDF 涂黑
使用 PdfDocShift 涂黑会移除底层内容而非将其覆盖，并输出一份干净的文件。无需安装、无需注册，上传的文件会在两小时后从我们的服务器上永久删除。
在副本上操作
开始之前先复制一份原文件，并把原件存放在有访问控制的位置。涂黑不可逆，而当你需要确认某个黑色方块底下原本是什么时，正是要靠这份副本。
打开「PDF 涂黑」工具
前往 pdfdocshift.com/redact-pdf 并上传你的文档。请先通读整份文件再动手，而不是边看边涂：敏感细节在页眉、页脚、脚注和附录中重复出现的频率，远超一般人的预期。
标记每一处需要移除的区域
在每一段需要删除的内容上拖出一个方框。把标记稍微延伸到文字可见边缘之外：一个从标记下方露出的字符，就可能足以把某个姓名或数字的范围缩小。请检查每一页，包括那些看起来只是套话的页面。
应用并下载
应用涂黑并下载结果。工具会删除底层内容、绘制标记，并写出一份没有增量历史的全新文件。随后请务必验证——接下来的章节会说明方法。
所有人都会忘记的部分：元数据
你可以把每一页都涂得完美无缺，却依然泄露掉正是你想保护的那样东西，因为 PDF 携带着大量从不出现在任何页面上的信息。
- 作者与创建者字段。通常是生成该文件所用软件的授权人姓名——往往是某家具名事务所里的某位具名人士。
- 原始文件名。常常保留在文档属性中。
Zhang_jiechu_caogao_v3.pdf在读者翻开任何一页之前就已经透露了太多。 - 创建与修改时间戳。它们确立了文档存在的时间点，这在诉讼和信息公开请求中可能分量极重。
- 批注与注释。审阅意见和修订记录会随文件一同流转，且并不属于可见页面的一部分。
- 表单字段值。即便可见的呈现已被涂黑，已填写的表单仍可能保留所输入的值。
- 内嵌附件。一份 PDF 可以在内部携带完整的文件——电子表格、其他 PDF——而任何页面上都没有可见的迹象。
在发布涂黑后的文档之前，请用 拼合 PDF 将表单字段和批注转换为静态页面内容，并在任意阅读器中检查文档属性。如果该文件将交给对立一方——对方律师、监管机构、记者——那就假定每一个字段都会被逐一审视，因为事实确实如此。
对扫描件进行涂黑
扫描件面临的是相反的问题，而违反直觉的一点是：它们在默认情况下更安全。纯扫描件就是一张图像，没有文本层，因此在其上绘制的黑色矩形一旦被拼合进图像，就真的抹掉了那些像素。
危险出现在扫描件经过 OCR 之后。运行 OCR 会在图像下方添加一层不可见的文字，使文档可被检索——而你在上方图像上所画的一切，对这一层毫无影响。一份经过 OCR、随后又用绘图工具涂黑的扫描合同，泄露方式与原生 PDF 完全相同，而且还多了一重危险：它看起来像一个安全的纯图像文件。
如何验证涂黑确实生效
涂黑后的文档，绝不要未经检查就发布。验证大约需要一分钟，却能拦下所有常见的失效情形：
- 选中并复制。打开涂黑后的文件，在每一涂黑页上全选文字（Ctrl+A 或 Cmd+A），复制并粘贴到纯文本编辑器中。在粘贴的内容里搜索你所删除的词句。不应出现任何结果。
- 在文档内搜索。用阅读器的查找功能搜索某个被涂黑的姓名或数字。表面性的涂黑仍然会命中——就在那个黑色方块的背后。
- 检查文档属性。打开文档属性，逐一查看作者、标题、主题和关键词字段。确认没有任何原始文件名或个人姓名残留。
- 比较文件大小。正确涂黑的文件通常会比原件略小，因为内容被删除了。如果涂黑后的文件明显更大，则意味着材料是被叠加上去而非移除——这是涂黑流于表面的有力迹象。
- 请别人复核。凡是后果重大的事情，执行涂黑的人恰恰是最不适合验证它的人：他知道标记在哪里，也就只会盯着那些地方看。
如果文档是交给有限范围的人而非公开发布，可以考虑用 PDF 加密 添加密码作为第二道防线。它不能替代正确的涂黑——加密保护的是传输中的文件，而非打开之后的内容——但它能限制一份本只面向少数人的文档被随手转发出去。
常见问题
不足够，而且这是文档安全领域最常见的错误。黑色矩形只是绘制在页面之上的图形；下方的文字仍留在文件中，可以通过选中并复制该区域、使用任何自动文本提取工具，或删除批注图层来还原。真正的涂黑会删除底层内容对象并重写整个文件。
打开涂黑后的文件，全选页面上的文字，复制并粘贴到纯文本编辑器中，然后搜索你删除过的信息。如果它出现了，说明这次涂黑只是表面功夫。也可以用阅读器的查找功能搜索被涂黑的词句——表面性的涂黑仍会在黑色方块背后命中——并检查文档属性中的作者姓名和原始文件名。
正确的涂黑无法撤销，而这是刻意为之：可以被你还原的涂黑，同样可以被对手还原。内容是从文件中删除，而非隐藏。请始终从副本开始操作，并把未涂黑的原件妥善保存，因为无法从涂黑后的文件中恢复已被删除的内容。
这取决于扫描件是否经过 OCR。纯图像扫描件没有文本层，因此拼合进图像的标记确实会抹除像素。但如果运行过 OCR，图像下方就存在一层绘图工具触碰不到的隐形文字——这样的文件看起来像是安全的纯图像扫描件，泄露方式却与原生 PDF 无异。可以尝试在页面上选中文字，以判断你手上是哪一种。
不会自动清除，而这正是常被忽略之处。作者姓名、原始文件名、创建时间戳、批注、表单字段值和内嵌附件全都存在于可见页面之外，能够在页面级涂黑之后继续存留。请拼合文档，把批注和表单字段转换为静态内容，并在发布之前检查文档属性。
只要工具在传输过程中加密上传内容并及时删除文件，就是安全的。PdfDocShift 对每次上传均采用 256 位 SSL，并在两小时后将文件从服务器上永久删除。对于受保护令或同等限制约束的材料，请先查阅贵机构自身的规定：有些机构要求受职业保密义务保护的文档只能在受控系统上处理，无论服务商提供何种保障。