什么是文件元数据？（以及为什么在分享前应该清除它）
文件元数据到底是什么
你创建的每个文件都包含两部分：你看到的内容，以及大多数软件会自动添加的一个秘密数据层。这个隐藏层就是元数据——关于文件的结构化信息，而不是文件本身的内容。“元”（meta）这个词源于希腊语，意思是“关于”。所以，元数据（metadata）的字面意思就是“关于数据的数据”。 一张 JPEG 照片不仅仅是像素的集合；它还包含了 EXIF 元数据，详细记录了相机型号、镜头、快门速度、ISO，以及——最关键的——拍摄照片时的确切 GPS 坐标。一个 Word 文档会悄悄地存储你的名字、你的公司（来自你的 Office 许可证）、你花了多少分钟编辑，甚至还有被删除文本的历史记录。 不同文件类型的元数据格式也不同。图片通常使用 EXIF（可交换图像文件格式）和 IPTC（国际新闻电信理事会）标准。PDF 有自己的属性，也使用 XMP（可扩展元数据平台）。像 DOCX 和 XLSX 这样的 Office 文件实际上是 ZIP 压缩包，它们的元数据存储在里面一个名为 core.xml 的 XML 文件中。音频文件使用 ID3 标签来保存专辑封面和曲目信息。视频文件则混合使用了容器级（MOV、MP4）和编解码器级的数据。 这一切都不是什么阴谋。软件工程师添加元数据是出于好的目的：相册应用用它来按日期和地点对你的照片进行排序，你的音乐播放器需要 ID3 标签来显示专辑封面。当这些文件脱离了你的掌控，传播到其原始环境之外时，麻烦就来了。
能暴露你隐私的具体数据字段
需要明确的是：并非所有元数据都有问题。知道一个文件是以 96 DPI 保存的，这只是无用的琐事。但一些常见的元数据字段却有严重的隐私和安全隐患。 照片中的 GPS 坐标是最著名的例子。在你的 iPhone 上打开定位服务拍张照，iOS 就会把精确的经纬度嵌入到文件的 EXIF 标签中。把这张照片发到网上，任何人用一个像 ExifTool 或 Jeffrey's Exif Viewer 这样的免费工具，就能知道你住在哪、在哪工作，或者常去哪里。这并非危言耸听。2012 年，一名 Vice 的记者就是通过分析一篇采访配图中的 GPS 数据，部分定位到了约翰·迈克菲（John McAfee）在危地马拉的藏身之处。 Office 文件中的作者和组织字段信息来自你的软件许可证。如果你起草一份合同，文件的内部 XML 文件会列出你的全名和公司。在谈判中把这个文件发给对方，他们就能确切地知道初稿是谁在什么时候写的。修订历史和跟踪修订是另一个雷区，可能会暴露被删除的文本、私人评论以及每一位编辑的名字。律师事务所有过著名的案例，就是把包含完整策略的文档意外发给了对方律师，而这些策略就藏在跟踪修订里。 对于 PDF 来说，XMP 数据块可以包含创建文件的软件（这会向攻击者暴露你的操作系统和补丁级别）、作者，甚至原始文件路径，比如 `C:\Users\sarah.johnson\Documents\ClientProposals\AcmeCorp_draft3.pdf`。单是这个路径就泄露了员工姓名和你的内部文件夹结构。也别忘了嵌入的缩略图预览。在某些 RAW 格式图片和旧版 Office 文件中，这些缩略图可能会显示文档早期阶段的快照，这意味着你以为已经删掉的内容可能仍然可见。
到底谁会读取文件元数据（以及如何读取）
你可能觉得读取元数据需要什么黑客技术。其实并不需要。免费的常用工具让这件事变得异常简单。 Phil Harvey 开发的 ExifTool 是黄金标准；它能在所有主流操作系统上运行，并能读取上百种文件格式的元数据。只需在终端里输入 'exiftool filename.jpg'，你就能看到所有信息。对于那些更喜欢图形界面的人，也有像 Jimpl.com 或 MetaPicz 这样的封装工具和在线工具，你只要上传一张照片就能立即看到它的数据。 对于 Office 文档来说，甚至更简单。你根本不需要特殊软件。只要把一个 .docx 文件重命名为 .zip，打开这个压缩包，然后用普通的文本编辑器浏览到 docProps/core.xml 文件。原始数据就摆在那里。 那么，到底是谁在看这些信息呢？比你想象的要多。记者会检查他们从信源收到的每一份文件。律师将元数据用作法庭证据；EXIF 时间戳曾被用来证明一张照片的真实拍摄时间，从而推翻了证人的证词。商业间谍则利用它来描绘竞争对手的组织架构。 执法部门非常依赖元数据。21世纪初，BTK 连环杀手之所以被识别出来，部分原因就是他寄给警方的一张软盘里，一份被删除的 Word 文档的元数据指向了“基督路德教会”和一个名叫“丹尼斯”的用户——也就是凶手丹尼斯·雷德。 这并非危言耸听。大多数分享菜谱的人不会有什么危险。但风险会随着内容的敏感性而增加。一个自由职业者把作品集发给新客户，与某人在私密聊天中分享家庭照片，他们的风险状况是完全不同的。
分享前如何清除元数据
我们来谈点实际的。下面是各个平台上清除文件元数据的方法。比你想象的要容易。 **在 Windows 上处理图片：** 右键单击文件，进入“属性”，然后点击“详细信息”选项卡。在底部，点击“删除属性和个人信息”。这能让你创建一个干净的副本，并处理掉大部分 EXIF 数据，但有时可能会漏掉 XMP 标签。 **在 macOS 上处理图片：** 不要依赖内置的“预览”应用；它在这方面是出了名的差。最好的选择是 ImageOptim，一个免费的开源工具，它能彻底移除 EXIF、IPTC 和 XMP 数据，同时还能压缩文件。或者，你也可以从“照片”应用中导出，但首先要确保在“照片 > 偏好设置 > iCloud”中关闭了“为发布的项目包括位置信息”。 **对于 Word 和 Excel 文件：** 在对外发送任何文件之前，养成一个习惯：去“文件 > 信息 > 检查问题 > 检查文档”。“文档检查器”会找到并让你选择是否移除批注、修订、作者信息和其他隐藏数据。这至关重要。请注意，移除修订历史是永久性的，所以如果需要，请为自己保存一份主副本。 **对于 PDF：** 跟难缠的 PDF 打过交道的人都知道，它们有自己的“脾气”。对于元数据，最可靠的解决方案是付费版 Adobe Acrobat Pro 中的“编辑 > 清理文档”功能。如果你没有 Acrobat，一个不错的变通方法是把文件“打印”成一个新的 PDF，因为 macOS 内置的 PDF 打印机能清除大部分（但并非总是全部）元数据。 **使用 CocoConvert：** 当你使用 CocoConvert 转换文件时，比如把 DOCX 转成 PDF，或者把 JPEG 转成 PNG，这个过程自然会去除大部分原始元数据。我们是在构建一个全新的文件，所以像 EXIF GPS 数据和 Word 作者字段这类信息不会被带过去。你可以把它看作一个有益的副作用，而不是一个专门的安全功能。对于真正敏感的文件，请先使用专门的清理工具。我们是一个转换工具，而不是取证工具，这一点我们想坦诚地说明。
文件转换能（和不能）移除什么
既然 CocoConvert 是一个文件转换器，我们就来具体说说在转换过程中元数据会发生什么。当你把 JPEG 转换为 PNG 时，我们会从源文件的像素创建一个新的 PNG 文件。PNG 有自己存储元数据的方式（在 tEXt、iTXt 和 zTXt 数据块中），但我们不会把原始的 EXIF 数据复制进去。实际上，这意味着你 JPEG 文件中的 GPS 坐标、相机型号和镜头信息在最终的 PNG 文件中都消失了。JPEG 到 WebP 的转换也是如此。 当你把 DOCX 转换为 PDF 时，我们是根据文档最终渲染出的样子来生成 PDF 的。新 PDF 中的作者字段通常会列出转换软件的名称，而不是 Word 中的原始作者。你所有的跟踪修订和历史版本都会被“压平”并消失，因为 PDF 只代表那一个最终状态。 但这里有几个陷阱。最大的一个是嵌入文件。如果你的源 Word 文档中包含一张带有 EXIF 数据的插入图片，那么这张图片在被嵌入到最终的 PDF 中时，可能会保留其元数据。所以这个 PDF 仍然可能因为那一张图片而包含 GPS 数据。 另外，这一点应该很明显，但我们还是要说一下：转换不会移除你文件内容中的敏感信息。如果你的地址是直接写在文档里的，它就仍然会在那里。那是内容，不是元数据。 对于音频文件，用 CocoConvert 将 MP3 转换为 AAC 默认是不会复制 ID3 标签的。 总而言之：对于日常使用，用 CocoConvert 进行转换是一道很棒的初步防线，能显著减少元数据暴露。但不要把它误认为是一个专门的高安全性清理工具。
专业和法律环境中的元数据
如果你在法律、金融、医疗或其他受监管的行业工作，元数据就不只是一个隐私方面的思考题——它是一个合规雷区。 例如，根据 HIPAA 法案，元数据可能属于受保护的健康信息（PHI）。一张医疗扫描图片可能带有指向某个诊所的 GPS 数据，以及带有患者姓名的作者标签。这个组合就是 PHI，即使图像本身是匿名的。美国卫生与公众服务部民权办公室明确要求，在对记录进行去标识化处理时必须考虑到元数据。 在法律程序中，元数据是完全可以被取证的。美国的《联邦民事诉讼规则》第34条涵盖了所有电子存储信息（ESI），法院也一再确认元数据是 ESI 的一部分。如果你被告知要为诉讼保全文件，而你却清除了元数据，这就是证据销毁。这是一个灾难性的错误，可能让你输掉官司。 对于记者和他们的信源来说，这并非理论；这关乎人身安全。这就是为什么像 SecureDrop 这样的工具会存在——它被新闻自由基金会、《纽约时报》和《卫报》等机构使用，自动清除提交文件中的元数据以保护信源。如果你是信源，你必须假设你发送的每个文件都标记着你的身份，除非你亲自清理过它。 在企业并购的世界里，数据室中的元数据可以揭示谈判策略、非公开估值和顾问身份。精明的交易对手绝对会寻找这些信息。现在，各大律师事务所都已将元数据审查作为任何交易的强制性步骤。 对我们大多数人来说，专业领域的风险要低一些。但原则是相同的：在文件脱离你的控制之前，了解它们正在透露关于你的什么信息。
分享任何文件前的实用清单
你不需要记住每一条晦涩的规则。对于 99% 的情况，在你点击“发送”或“上传”之前，这份实用清单就足够了。 **1. 识别文件类型及其元数据风险。** 记住几个主要的就行。照片可能有 GPS 数据。Office 文档可能有作者和修订历史。PDF 可能有作者数据和创建路径。音频文件携带 ID3 标签。视频文件携带 GPS、设备型号和创建时间戳。 **2. 评估你的受众。** 这个文件是给谁的？发一张家庭照片给你妈妈，风险很低。在公共论坛上发照片或给新客户发方案，风险就比较高。根据实际威胁来决定你投入的精力。 **3. 使用合适的工具。** 在 Windows 上，使用内置的属性移除器；在 Mac 上，使用 ImageOptim。对于 Office 文件，运行文档检查器。对于 PDF，使用 Acrobat 的清理功能或重新打印成 PDF。对于批量处理或格式转换，CocoConvert 的转换过程会顺带移除大部分特定格式的元数据。 **4. 验证输出结果。** 清理或转换后，检查一下结果。在 Windows 上，右键 > 属性 > 详细信息。在 Mac 上，用预览打开，然后进入工具 > 显示检查器 > EXIF。在命令行使用 ExifTool 可以获得完整信息：'exiftool -all filename.jpg'。不要想当然地认为清理成功了——要去确认。 **5. 记住内容不是元数据。** 这点至关重要。如果你把社会安全号码写进了文档里，没有任何工具会帮你移除它。那是内容问题，你需要单独审查文件的可见部分。 **6. 对于高风险情况，使用专用工具。** MAT2（元数据匿名化工具包2）是一款安全专家使用的开源工具，能处理几十种文件格式，比大多数消费级选项更彻底。它在 Linux 上可用，也可以通过为高风险场景设计的 Tails 操作系统使用。 元数据本身并非邪恶之物。它是一个有用的功能，只是当我们的文件开始通过点击按钮就能环游世界时，它才变成了一个隐患。了解你的文件携带了什么信息——并在分享前花上30秒清理一下它们——是一个能极大提升你隐私安全的小习惯。