PDF sanitization 是通过识别并删除不应随分发副本一起交付的信息、功能或残留数据，把 PDF 准备成安全发布版本的过程。它不仅关注页面上可见的内容，还可能涉及元数据、评论、附件、表单值、隐藏对象、脚本、可选内容以及编辑或转换留下的残余。
Sanitization 并不是所有 PDF 产品中行为完全相同的单一命令。更准确的理解是一个受控审查与清理流程：先确定收件人有权获得什么，检查文件中的隐藏或不必要信息，删除不应披露的内容，并在分发前验证发布副本。
简要答案
经过 sanitization 的 PDF，是经过检查和清理、只保留计划提供给收件人的信息和功能的发布副本。具体清理深度取决于文档、来源、创建软件以及意外披露风险。
低风险文档可能只需检查元数据和评论。法律、财务、人力资源、技术、受监管或高度机密资料则可能需要进一步检查附件、表单、隐藏图层、交互内容、残留文字以及敏感信息删除是否真正有效。
PDF Sanitization 包括什么？
Sanitization 会检查 PDF 中明显和不明显的部分。目标不是无理由破坏有用功能，而是生成一份内容与批准披露范围一致的受控发布副本。
不同 PDF 工具提供的检查和清理能力不同，因此清单应根据文件类型和发布风险调整。
- 标准文档属性和扩展 XMP 元数据
- 评论、批注、审阅备注和标记
- 嵌入文件和附件
- 表单字段、保存值和交互元素
- 可选内容图层、隐藏对象和残留内容
- 链接、动作、JavaScript、书签和其他文档行为
- 不完整编辑或仅视觉遮挡后残留的文字或对象
Sanitization 与元数据删除的区别
删除元数据只是 sanitization 的一部分。清除 Author、Creator、Title、Subject、Keywords、时间戳、应用信息或自定义 XMP 属性可以减少披露，但不能清除其他隐藏内容。
例如，一个文档属性为空的 PDF 仍可能包含附件表格、带内部邮箱地址的评论、预填表单值或隐藏图层。[分享 PDF 前如何删除隐藏元数据](/resources/articles/remove-hidden-metadata-before-sharing-pdf/)详细说明了这一更窄的步骤。
Sanitization 与敏感信息删除的区别
敏感信息删除用于移除收件人不应获得的特定内容。Sanitization 更广，因为它会检查多类隐藏、残留或不必要信息。Sanitization 可以包含敏感信息删除检查，但两者并不是同义词。
如果敏感文字只是被形状或色块覆盖，底层信息仍可能存在。真正的安全删除应移除目标内容，sanitization 则应验证没有可恢复版本或相关隐藏数据残留。可参阅[PDF 敏感信息删除与加密的区别](/resources/articles/pdf-redaction-vs-encryption/)。
Sanitization 与加密的区别
加密不会清理 PDF。它通过在提供正确凭据前保持内容不可读来保护访问。如果隐藏评论、元数据或附件仍存在，它们只是被保留在加密文件中，而不是被移除。
通常正确顺序是：先决定允许披露什么，清理发布副本，验证结果，再在存在未授权打开风险时进行加密。加密保护批准后的文件；sanitization 决定批准文件中应包含什么。
不做 Sanitization 可能出现什么问题？
意外披露经常来自正常页面视图中不可见的信息。PDF 看起来很干净，却可能仍带有内部人员身份、审阅历史、系统细节或本来应该删除的内容。
- 作者或编辑姓名暴露内部人员
- 评论暴露谈判、审阅者或已删除措辞
- 附件意外泄露源文件或支持材料
- 表单值泄露个人或交易数据
- 隐藏图层或残留对象包含批准范围之外的内容
- 链接或脚本暴露内部系统或产生意外行为
- 仅视觉遮挡的敏感信息仍有可恢复文字
实用的 PDF Sanitization 流程
可靠流程从批准的源文件开始，以单独验证过的发布副本结束。顺序很重要，因为清理可能具有破坏性，而且后续安全控制应应用于已经批准的内容。
- 从批准源文件创建独立发布副本
- 对文档分类并定义收件人有权获得的范围
- 检查元数据、评论、附件、表单、图层、链接、脚本和隐藏内容
- 对必须移除的信息使用真正的敏感信息删除
- 适当时使用可信的检查或 sanitization 功能
- 保存或导出新的发布文件，而不是覆盖唯一源文件
- 独立验证清理后的副本
- 内容批准后再应用加密、权限或水印
- 分发前确认收件人、文件名和目的地
如何验证清理后的 PDF？
验证应作为独立控制，而不是假设清理工具一定完美。像收件人一样重新打开输出文件，检查可见行为和隐藏结构。高风险发布适合由第二个人或另一种方法复核。
- 重新检查标准和扩展元数据
- 搜索敏感姓名、标识符和短语
- 检查评论、附件、表单值、图层、书签、链接和动作
- 在敏感信息删除区域尝试普通文字选择或提取
- 确认不必要的脚本或嵌入文件已消失
- 验证所需无障碍和业务功能仍正常
- 确认实际分发的就是经过 sanitization 的版本
什么时候 PDF Sanitization 特别重要？
当 PDF 来自协作编辑、包含个人或受监管数据、由多个文件组装、包含交互功能，或从内部环境转交给外部收件人时，sanitization 的重要性会显著提高。
- 法律或诉讼文档
- 人力资源和员工记录
- 财务报表和交易资料
- 技术图纸和工程文档
- 医疗、受监管或隐私敏感记录
- 从内部报告生成的外部版本
- 曾包含敏感信息删除或隐藏内容的文件
- 包含附件、表单、评论或复杂交互功能的文档
PDF Sanitization 的局限
Sanitization 不能保证文档永远不会泄露任何信息。效果取决于工具质量、审查完整性、PDF 复杂度和发布决策是否正确。特殊或损坏文件可能需要更深入的技术检查。
它也不能替代安全分发。发布副本批准后，仍可能需要加密、收件人验证、权限设置、水印、安全交付、保留控制和事件响应。更广泛的方法请参阅[如何保护机密 PDF 文档](/resources/articles/how-to-protect-confidential-pdf-documents/)。
Sanitization 完成后 XERIA 的作用
XERIA 不是 PDF sanitization 或隐藏数据删除工具。Sanitization、元数据清理和安全敏感信息删除应在批准发布副本进入 XERIA 工作流之前，用专门的工具和审查流程完成。
完成 sanitization 和验证后，XERIA 可以支持密码保护、PDF 权限、可见或收件人专属水印、追踪信息、个性化生成、受控邮件交付、云连接工作流和分发记录。
常见问题
PDF sanitization 和删除元数据是一回事吗？
不是。删除元数据只是其中一部分。经过 sanitization 的发布副本还可能需要检查评论、附件、表单值、图层、脚本、隐藏对象、残留文字和其他嵌入结构。
PDF sanitization 可以替代敏感信息删除吗？
不能。如果特定信息不得披露，应通过真正的敏感信息删除流程移除。Sanitization 可以验证删除是否有效，以及是否仍有相关隐藏数据残留。
PDF sanitization 会让加密变得不必要吗？
不会。Sanitization 控制文件包含什么，加密控制谁可以打开批准后的文件。如果存在未授权打开风险，应在 sanitization 后进行加密。
每个 PDF 分享前都要做完整 sanitization 吗？
不一定。深度应匹配文档敏感度、复杂度、来源和披露风险。简单公开 PDF 可能只需基础检查；机密或受监管文档可能需要正式的多步骤流程。
结论
PDF sanitization 是在分发前降低隐藏信息风险的受控发布流程。它比元数据删除范围更广，可包含敏感信息删除检查，并应在加密或其他分发控制之前完成。应先定义批准披露范围，清理独立发布副本，进行验证，再添加适合文档风险的访问控制和责任追踪措施。