PDF 脱敏与匿名化复核工作流

目标与适用范围

在 PDF 外发前识别可能的敏感信息，逐页确认候选区域，应用人工批准的遮盖，并记录可审阅的外发结论。
本指南将当前任务范围转化为可复核的交付结果。请保留源文件、中间产物和关键判断，让后续协作者能够理解检查了什么以及为什么这样处理。

准备证据并作出选择

• 只处理获得授权的源 PDF，保留未修改的原件，并提前确定候选副本和最终副本的留存方式。

• 列出需要检查的敏感类别、外发对象、责任复核人，以及文件可以离开组织的明确条件。

• 确认可以检查页面渲染结果和 PDF 坐标；扫描页、图片、覆盖层和元数据仍需要人工复核。

• 决策点: 自动结果是排查清单，还是外发结论？. 用 PDF 匿名化报告发现可能的姓名、邮箱和手机号，但把每一项都当作候选。哪些内容可以披露，必须由复核人结合上下文决定。

• 决策点: 每个候选区域都能在渲染页面上确认吗？. 只有在源文件中确认了页码、可见区域和敏感性，才把发现带入遮盖步骤。无法判断时应升级复核，不要凭猜测直接遮盖。

• 决策点: 候选副本是否已经与原件逐页对照？. 完成遮盖后，从第一页到最后一页对照原件，检查文字、图片、批注和其他可见上下文，再决定是否可以交给指定对象。

按步骤完成工作流

1. 生成候选发现报告

对获得授权的 PDF 运行 PDF 匿名化报告，找出可能的姓名、邮箱和手机号。保留报告与候选输出作为复核证据，不把自动结果当成批准结论。 使用 pdf-anonymizer-report.

2. 逐页确认发现

并排查看原件和候选视图，检查每个报告页码和区域，在复核记录中补充遗漏的敏感内容或说明误报。没有被报告出来不等于安全。 使用 pdf-anonymizer-report.

3. 只应用已批准的遮盖区域

把复核确认的页码和坐标转换为 PDF 敏感信息遮挡助手的输入，渲染出单独副本并使用不透明黑块覆盖。保留标签和页码，确保每个遮盖都能追溯到人工决定。 使用 pdf-redaction-helper.

4. 逐页检查并验收外发副本

将渲染结果与未修改原件逐页对照，必要时重新运行候选检查，记录残留风险和复核签字；只有通过指定对象验收的副本才可以外发。 使用 pdf-redaction-helper, pdf-anonymizer-report.

交付前验收结果

• 所有可能的发现都映射到页码，并被确认、记录为误报或升级处理。
• 已确认区域在单独的候选 PDF 中用不透明遮盖块覆盖，未修改的原件仍可在受控条件下用于对照。
• 复核人逐页将候选副本与原件比较，并记录遗漏风险、残留披露风险和仍有歧义的内容。
• 交付记录写明复核人、外发对象、输出文件和决定，并明确说明该流程不能证明完全匿名化或法律合规。

常见问题

• 这个流程能证明 PDF 已经完全匿名化吗？ 不能。工具只能识别它能处理的模式和页面内容，遮盖范围还取决于上下文判断。最终得到的是经过复核的候选副本，不是完全去标识化或合规证明。
• 如果页面包含图片、扫描内容、批注或间接身份线索，应该怎么办？ 暂停流程并人工检查渲染页面，把内容记录为已确认、误报或待升级处理。不能因为自动报告没有提示，就认为视觉信息或上下文信息可以安全披露。
• 什么时候使用 PDF 敏感信息遮挡助手？ 在复核人确认了要覆盖的准确页码和区域后使用。它会按输入坐标在渲染输出中绘制不透明矩形，不负责猜测敏感内容，也不能替代最终逐页复核。