1. 项目概述为什么我们需要关注PDF的“隐形信息”你可能每天都在处理PDF文件无论是合同、报告、论文还是简历。我们通常只关心文件里的文字和图片内容是否清晰、格式是否正确。但你是否想过当你把一个PDF文件发送给同事、客户或者上传到某个平台时除了你看到的正文这个文件还“夹带”了哪些信息这些信息就是PDF的元数据。元数据简单理解就是“关于数据的数据”。对于PDF文件来说它就像一份内置的“身份证”和“行程记录”。这份记录里可能包含了文档的标题、作者、创建和修改日期、使用的软件比如是用Adobe Acrobat还是WPS创建的、甚至是你电脑的用户名。在一些更专业的场景下元数据还可能包含文档的修订历史、嵌入的缩略图、书签结构以及一些用于内部工作流的自定义标签。这些信息在团队协作、文档管理时很有用能帮你快速识别文件版本和来源。但问题也随之而来当你需要对外分享一份敏感文件时这些“隐形信息”就可能成为泄露隐私或商业机密的漏洞。想象一下你给客户发一份最终版报价单但元数据里却显示这份文档最初是由“实习生_张三”创建的并且保留了之前所有版本的修改痕迹和评论或者你上传到招聘网站的简历PDF元数据里却还留着上一家公司内部的项目代号。这些都不是我们希望发生的。这就是“PDF元数据清洗”工具存在的核心价值。它不是一个简单的文件格式转换器而是一个专注于“数字卫生”的安全工具。它的任务是在不改变你肉眼所见内容的前提下彻底剥离或重置文件内那些不必要的、可能带来风险的附加信息确保你分享出去的是一个“干净”的文件本体。随着远程办公和电子化流程的普及对文档安全性的要求越来越高这样一个工具也从专业人士的小众需求逐渐变成了许多职场人应该了解和掌握的基本技能。接下来我将从一个实践者的角度拆解这类工具的核心原理、实现要点以及你在使用中必须注意的那些“坑”。2. 核心原理与风险剖析元数据里到底藏了什么要理解清洗工具在做什么首先得弄明白PDF元数据的构成和潜在风险点。PDF规范ISO 32000定义了一个复杂的结构其中与元数据相关的部分主要集中在两个地方文档信息字典Document Information Dictionary和XMP元数据包Extensible Metadata Platform。2.1 文档信息字典基础的身份信息这是最传统、最普遍的元数据存储位置。你可以把它想象成文件属性对话框里显示的那些信息。通常包括以下几个关键字段/Title: 文档标题。注意这不一定和文件名相同。/Author: 文档作者。这往往是泄露个人身份的直接来源可能来自编辑软件自动填写的用户名。/Subject和/Keywords: 主题和关键词。可能包含项目名称、客户代号等敏感信息。/Creator和/Producer: 创建者和生产者。Creator通常指最初创建文档的应用程序如“Microsoft® Word”而Producer则指最终生成PDF的应用程序如“Acrobat Distiller”。/CreationDate和/ModDate: 创建和修改日期。精确到秒的时间戳可以分析出文档的创作和修改节奏。/Trapped: 一个标志位通常为/False与印刷流程相关。这些信息通常以明文或简单编码形式存储在PDF文件的根对象附近使用工具可以轻易读取和修改。2.2 XMP元数据包现代而丰富的“扩展包”XMP是Adobe推出的一种基于XML的元数据标准它比传统的文档信息字典强大得多。它被作为一个“数据流”嵌入到PDF文件中。XMP包可以包含文档信息字典中的所有内容并且极大地扩展了范围例如更详细的版权和权限信息。多语言翻译。复杂的版本历史和资源关系。相机和图片的EXIF信息如果PDF中嵌入了图片。各种自定义的命名空间允许应用程序添加私有数据。XMP的引入让元数据管理更规范但也意味着信息量更大、隐藏更深。2.3 被忽视的“数据碎片”不止于元数据字典除了上述两个主要区域PDF中还有其他容易被忽略但可能包含敏感数据的部分一个严谨的清洗工具必须处理它们文档结构比如书签Outline、页面标签Page Labels。书签可能包含内部章节的机密标题。注释与表单域审阅评论、高亮、文本框注释可能包含交流内容。表单域Form Fields可能保留之前填写的数据即使看起来是空白。嵌入式对象和文件PDF可以嵌入其他文件如Excel表格、Word文档这些文件自身也带有元数据。删除的内容PDF的更新机制并非总是“覆盖”有时旧内容只是被标记为删除但物理上仍存在于文件中通过底层解析可能被恢复。JavaScript代码某些PDF包含用于交互的JavaScript这可能构成安全风险如XSS攻击的潜在载体这与网络热词中提到的“springboot解决pdf xss攻击”是不同层面的安全问题但都源于对PDF复杂性的利用。注意元数据清洗和内容安全如防XSS是两回事。清洗工具主要解决信息泄露而防御PDF内的恶意代码需要专门的安全软件或解析策略。不过一个健壮的清洗过程移除或禁用不必要的JavaScript流也是一个好实践。2.4 真实场景下的风险案例法律文件交换律师事务所向对方律师发送证据PDF元数据却显示该文档由对方客户公司的内部模板创建暴露了信息源。投标与报价公司A的报价单PDF其/Producer字段显示为“公司B专用PDF生成器”暗示了可能的合作关系或信息泄露渠道。个人隐私个人上传的论文或作品集/Author字段是真实姓名/CreationDate显示了熬夜赶工的具体时间而文件可能通过云服务同步到了其他设备。内部信息推断通过对比同一来源多个PDF的/ModDate可以推断项目阶段的活跃时间甚至结合简单的作者信息进行社交工程分析。理解了这些你就会明白一个完整的PDF元数据清洗远不止是清空几个属性对话框里的字段那么简单。它需要对PDF文件结构有深入的理解进行一场针对“数字指纹”的精密手术。3. 工具核心功能设计与实现思路拆解基于上述风险分析一个合格的PDF元数据清洗工具不应该只是一个简单的“删除属性”功能。它需要提供一个兼顾安全性、可用性和可靠性的解决方案。下面我以一个自研或深度定制工具的角度来拆解其核心功能模块的设计思路。3.1 功能架构设计分层处理策略一个健壮的清洗工具通常会采用分层或分阶段的处理策略而不是一股脑地暴力删除所有非内容数据。第一层基础信息清洗这是最基本的功能目标是移除或重置文档信息字典和XMP包中的标准字段。处理方式有两种完全删除将对应的字典项或XMP属性移除。这是最彻底的方式但某些PDF阅读器在打开完全没有这些信息的文件时可能会弹出警告。重置为默认值将/Author、/Title等字段设置为空字符串或通用值如“Anonymous”将日期重置为工具运行的时间或一个固定时间。这种方式兼容性更好但本质上信息已被覆盖。实操心得在实际开发中我倾向于采用“重置”而非“完全删除”作为默认策略。因为PDF规范并未强制要求这些字段必须存在但一些老旧或特定的下游系统可能会依赖它们。将/Title设为文件名不含扩展名将/Author设为空是一个平衡安全与兼容性的常见做法。第二层深层结构清理这一层针对更隐蔽的数据。清理文档结构提供选项是否移除书签、页面标签。对于技术手册书签很有用对于对外合同书签可能需要清理。清理注释与表单这是关键且易错点。工具需要能扁平化注释和表单域。所谓“扁平化”是指将可交互的注释如评论气泡和表单域如可填写的文本框转换为不可编辑的普通页面内容矢量图形或图像。这样既消除了数据残留又保留了这些元素在页面上的视觉呈现。处理嵌入式对象识别并移除或清理嵌入文件自身的元数据。这可能需要递归调用自身的清洗逻辑或集成其他专门工具。第三层安全加固处理移除删除对象对PDF文件进行“压缩”或“优化”实质上是重建文件流丢弃所有被标记为删除的旧对象数据释放空间的同时也清除了可恢复的历史内容。处理脚本与动作移除或禁用所有JavaScript代码、打开动作如自动跳转到某页和提交表单动作。这直接提升了文件的安全性。标准化与压缩在清洗过程中重新线性化PDF文件优化读取顺序并压缩对象流。这不仅能减小文件体积还能让文件结构更规范消除一些因编辑历史造成的结构冗余。3.2 技术选型与实现路径实现这样一个工具主要有三种路径各有利弊利用现有命令行工具封装快速实现代表工具qpdf、pdftk、Ghostscript。思路这些是经过战场考验的成熟工具。例如Ghostscript在将PDF转换为PDF的过程中可以丢弃大部分元数据和交互功能。你可以通过编写脚本Shell、Python等组合调用这些命令实现一个清洗流水线。优点开发速度快稳定性高底层由C/C实现性能好。缺点功能受限于底层工具的能力难以进行非常精细化的控制比如选择性保留某些书签。错误处理和信息反馈可能不够友好。使用高级编程语言的PDF库灵活控制代表库Python的PyPDF2或更现代的pypdf、pdfminerJava的Apache PDFBox、iTextJavaScript的pdf-lib。思路直接使用编程库解析PDF文件结构遍历所有对象精准定位并修改或删除元数据字典、XMP包、注释字典、书签树等特定对象然后重新生成文件。优点控制粒度最细可以实现高度定制化的清洗策略。便于集成到更大的应用系统中如Web服务、桌面应用。缺点开发复杂度高需要深入理解PDF对象语法COS。PDF规范复杂边缘情况多自己实现所有细节容易出错特别是处理损坏的PDF或特殊编码时。混合模式推荐实践思路以高级语言库如Python作为主控和业务逻辑层负责文件IO、配置解析、流程调度。对于核心、复杂且底层的清洗操作如深层压缩、字体处理调用qpdf或Ghostscript这样的命令行工具来完成。主控程序负责检查命令行工具的执行结果和输出文件。优点在灵活性和稳定性之间取得平衡。既能实现精细化的元数据编辑又能借助成熟工具处理最棘手的底层问题可靠性大大增强。缺点部署环境需要同时安装运行时语言如Python和这些命令行工具增加了依赖项。我的选择与理由对于需要交付给非技术用户使用的工具我通常会选择混合模式。用Python的pypdf库处理标准的元数据字段移除、简单的注释扁平化基础图形绘制因为它API相对友好。然后对于最终输出我一定会调用一次qpdf --linearize --object-streamsgenerate --compress-streamsy cleaned.pdf final_output.pdf。这个命令能线性化文件、压缩流并且qpdf在重建文件的过程中会默认丢弃很多冗余和已删除的数据相当于一次安全加固让最终文件非常“干净”和高效。4. 实操构建从零打造一个命令行清洗工具理论说再多不如动手做一遍。这里我将以Python为主结合qpdf演示如何构建一个具备核心功能的命令行清洗工具。我们将其命名为pdfscrub。4.1 环境准备与依赖安装首先确保你的系统已经安装了Python建议3.8以上和qpdf。# 在Ubuntu/Debian上安装qpdf sudo apt-get install qpdf # 在macOS上使用Homebrew安装 brew install qpdf # 在Windows上可以从qpdf官网下载预编译的二进制文件并添加到系统PATH。接下来创建项目目录并安装必要的Python库。我们主要使用pypdf和click用于构建命令行界面。mkdir pdfscrub cd pdfscrub python -m venv venv source venv/bin/activate # Windows: venv\Scripts\activate pip install pypdf click4.2 核心清洗逻辑实现我们创建一个scrubber.py文件实现核心的清洗类。import os import tempfile import subprocess from datetime import datetime from pypdf import PdfReader, PdfWriter from pypdf.generic import DictionaryObject, NameObject, TextStringObject class PDFScrubber: def __init__(self, input_path): self.input_path input_path self.reader PdfReader(input_path) self.writer PdfWriter() def scrub_metadata(self, preserve_datesFalse): 清洗文档信息字典和XMP元数据 # 1. 复制所有页面内容 for page in self.reader.pages: self.writer.add_page(page) # 2. 清空文档信息字典 # pypdf中通过writer的metadata属性访问 self.writer.add_metadata({ /Title: , /Author: , /Subject: , /Keywords: , /Creator: , /Producer: PDF Scrubber Tool, # 可以重置为一个通用名称 /CreationDate: , # 清空或设置为当前时间 /ModDate: , }) # 注意add_metadata是覆盖操作。这里我们直接用空值或重置值覆盖。 # 3. 移除XMP元数据如果存在 # pypdf 将XMP存储在 .metadata 属性中直接置空 if hasattr(self.reader, metadata) and self.reader.metadata: # 我们选择不将原XMP数据写入writer即实现移除 pass # 什么都不做writer默认不会有原XMP # 4. 可选处理自定义的文档级信息 # 查找并移除根字典中可能存在的自定义元数据 if /Info in self.reader.trailer: # 我们不将原Info复制到writer因为上面add_metadata已设置新的 pass def flatten_annotations(self): 扁平化注释这是一个简化示例真实扁平化非常复杂 # 警告真正的注释扁平化需要将注释内容绘制到页面上这极其复杂。 # 此处演示的是“移除”注释而非视觉保留。 for page in self.writer.pages: if /Annots in page: # 直接删除注释字典这会使注释在视觉上消失 del page[NameObject(/Annots)] print(警告注释已被移除而非扁平化。对于需要保留注释外观的场景请使用Ghostscript等专业工具。) def remove_bookmarks(self): 移除文档大纲书签 # 在pypdf中大纲信息通常存储在Catalog的/Outlines下 # 我们只需确保writer的根目录Catalog不包含Outlines if /Outlines in self.writer._root_object: del self.writer._root_object[NameObject(/Outlines)] def save(self, output_path): 保存清洗后的PDF初步版本 with open(output_path, wb) as out_file: self.writer.write(out_file) print(f初步清洗完成保存至: {output_path}) def finalize_with_qpdf(self, intermediate_path, final_output_path): 使用qpdf进行最终优化和安全加固 # 构建qpdf命令线性化、压缩流、生成新的对象流 cmd [ qpdf, --linearize, # 线性化便于网络流式传输 --object-streamsgenerate, # 重新生成对象流 --compress-streamsy, # 压缩流 --stream-datacompress, # 压缩流数据 intermediate_path, final_output_path ] try: subprocess.run(cmd, checkTrue, capture_outputTrue, textTrue) print(fqpdf优化完成最终文件: {final_output_path}) # 删除中间文件 os.remove(intermediate_path) except subprocess.CalledProcessError as e: print(fqpdf处理失败: {e.stderr}) raise4.3 构建命令行界面使用click库创建一个用户友好的命令行接口文件命名为cli.py。import click from scrubber import PDFScrubber import tempfile import os click.command() click.argument(input_pdf, typeclick.Path(existsTrue)) click.option(--output, -o, defaultcleaned.pdf, help输出文件路径默认为 cleaned.pdf) click.option(--keep-dates, is_flagTrue, help保留原始创建/修改日期不推荐) click.option(--remove-annots, is_flagTrue, help移除所有注释警告非扁平化) click.option(--remove-bookmarks, is_flagTrue, help移除书签) def main(input_pdf, output, keep_dates, remove_annots, remove_bookmarks): PDF元数据清洗工具 - 移除敏感元数据保护隐私。 click.echo(f开始处理: {input_pdf}) # 初始化清洗器 scrubber PDFScrubber(input_pdf) # 执行清洗 scrubber.scrub_metadata(preserve_dateskeep_dates) if remove_annots: click.echo(正在移除注释...) scrubber.flatten_annotations() # 注意我们实现的其实是移除 if remove_bookmarks: click.echo(正在移除书签...) scrubber.remove_bookmarks() # 保存初步结果到临时文件 with tempfile.NamedTemporaryFile(suffix.pdf, deleteFalse) as tmp: intermediate_path tmp.name scrubber.save(intermediate_path) # 使用qpdf进行最终优化 try: scrubber.finalize_with_qpdf(intermediate_path, output) click.echo(click.style(✅ 清洗与优化完成, fggreen)) except Exception as e: click.echo(click.style(f❌ 最终处理失败: {e}, fgred)) # 如果qpdf失败至少提供中间文件 import shutil shutil.move(intermediate_path, output) click.echo(f已保存未优化的版本至: {output}) if __name__ __main__: main()4.4 使用示例与测试安装你的工具可以通过pip install -e .以可编辑模式安装或直接运行脚本。# 基本使用清洗所有标准元数据并用qpdf优化 python cli.py sensitive_document.pdf -o safe_document.pdf # 同时移除注释和书签 python cli.py contract.pdf -o contract_clean.pdf --remove-annots --remove-bookmarks # 保留原始日期通常不推荐 python cli.py report.pdf --keep-dates处理完成后你可以使用系统自带的文件属性查看器或者用exiftool命令行工具来验证元数据是否已被清除。# 安装exiftool # Ubuntu: sudo apt install libimage-exiftool-perl # macOS: brew install exiftool # 查看清洗前后的元数据对比 exiftool sensitive_document.pdf | head -20 exiftool safe_document.pdf | head -20你会看到Author、Creator、Producer等字段已经被重置或移除文件大小可能因为压缩而略有变化但内容完全一致。5. 进阶议题与避坑指南在开发和实际使用这类工具的过程中你会遇到一些教科书上不会提但至关重要的细节问题。5.1 性能与大型文件处理PDF文件可能非常大尤其是包含大量高分辨率图片的扫描件。在内存中一次性加载整个PdfReader对象可能导致内存溢出OOM。解决方案流式处理对于主要是追加内容的清洗如只修改元数据不改变页面pypdf的PdfWriter可以逐页从PdfReader读取并添加避免一次性加载所有页面对象到内存。但对于需要深度遍历所有对象如搜索所有注释的操作流式处理帮助有限。外部工具优势这正是混合架构中qpdf等工具的优势。它们用C编写内存管理效率更高且其“压缩/优化”操作本身就是一种流式重建过程能更好地处理大文件。分块处理策略对于超大型文件可以考虑先使用qpdf将其分割成多个单页或小章节的PDF分别清洗后再合并。qpdf本身就支持分割--split-pages和合并。5.2 格式兼容性与“二次污染”你清洗过的PDF用Acrobat打开是干净的但用某些在线转换工具或老旧版本的阅读器打开可能又显示出了旧的作者信息。这被称为“元数据残留”或“二次污染”。原因分析多重元数据源PDF中可能存在多个地方存储了相同信息。你清除了XMP包里的作者但某个旧的文档信息字典条目没被清理干净。应用程序缓存一些阅读器或云服务如网盘预览可能会缓存文件的元数据。即使你更新了文件它们仍显示缓存的旧信息。非标准元数据某些应用程序如微软Office的“另存为PDF”可能会将自定义信息存储在非标准的位置。应对策略深度扫描在清洗逻辑中不仅检查标准位置/Info,/Metadata还要遍历文档的根对象/Root、页面树/Pages乃至重要对象流查找任何包含Author、Creator等关键词的文本字符串对象并进行替换或清除。这需要更复杂的解析逻辑。标准化输出在流程的最后强制使用qpdf或Ghostscript进行“重写”--linearize或-sDEVICEpdfwrite。这个过程会解析原PDF并生成一个全新的、结构规范的PDF能最大程度地丢弃非标准、冗余的垃圾数据包括隐藏的元数据。这是保证清洗效果最有效的一步。验证环节工具应提供验证模式使用如exiftool、pdfinfopoppler-utils包等工具对输出文件进行扫描报告是否还存在已知的元数据字段。5.3 字体与嵌入资源的处理这是一个高级但常见的问题。PDF中嵌入的字体文件特别是TrueType或OpenType字体本身可能包含元数据如字体名称、版权信息、创建者等。清洗工具是否应该、以及如何清理这些嵌入资源内的元数据现状大多数开源PDF库包括pypdf不提供修改嵌入字体文件元数据的功能。这是一个非常底层的操作。影响字体元数据泄露的风险通常低于文档作者信息但在高度敏感的场景如字体是内部定制开发的下仍需考虑。折中方案工具可以提供“剥离字体”的选项即将所有嵌入字体转换为轮廓路径曲线。这彻底消除了字体元数据也解决了字体缺失的显示问题但会导致文件体积急剧增大且文本无法再被选中和搜索。这通常不是默认选项仅用于最高安全要求。5.4 图形化界面GUI的考量命令行工具强大但对普通用户不友好。为其开发一个GUI前端是自然延伸。技术选型Python生态有Tkinter内置、PyQt/PySide、wxPython等。对于这类工具PySimpleGUI是一个快速上手的优秀选择它能用极简的代码创建出功能足够的界面。核心功能设计拖放支持允许用户将PDF文件拖入窗口。选项复选框清晰列出可清洗的项目作者、标题、日期、注释、书签、JavaScript等。预览功能可选但重要在清洗前显示从文件中提取出的元数据列表让用户知道将要删除什么。批量处理支持选择一个文件夹处理其中所有PDF文件。日志输出在界面中显示处理进度和结果。打包与分发使用PyInstaller或cx_Freeze将Python脚本和所有依赖包括qpdf二进制文件打包成独立的可执行文件.exe, .app, .bin方便用户无需安装Python环境即可使用。6. 常见问题排查与实战技巧即使工具设计得再完善在实际操作中也会遇到千奇百怪的问题。这里记录一些我踩过的坑和对应的解决方法。6.1 问题排查清单问题现象可能原因排查步骤与解决方案处理后的PDF无法打开或损坏1. 底层PDF库解析/写入错误。2. 使用了不兼容的PDF特性如加密、特殊编码。3. qpdf处理时出错。1.分步调试先注释掉qpdf调用只保存pypdf的中间结果看问题出在哪一步。2.检查源文件用qpdf --check input.pdf检查源文件是否本身已损坏或不符合规范。3.简化操作尝试只进行最基本的元数据清洗不进行注释或书签操作看是否成功。4.使用备用工具用Ghostscript直接转换一次gs -sDEVICEpdfwrite -dCompatibilityLevel1.4 -o output.pdf input.pdf如果成功说明问题在工具链的某个环节。文件体积反而变大很多1. 字体被转换为轮廓。2. 图片未被压缩或重新编码。3. qpdf的压缩参数未生效。1.确认操作检查是否误选了“剥离字体为轮廓”选项。2.调整qpdf参数确保使用了--compress-streamsy和--stream-datacompress。3.考虑有损优化如果体积是首要考虑可以在qpdf处理后再用像ghostscript设置-dPDFSETTINGS/ebook中等质量或/screen低质量来进一步压缩图片。某些阅读器仍显示旧作者1. 元数据未彻底清除见5.2节。2. 阅读器缓存。1.深度验证使用exiftool -a -G1 -s input.pdf命令查看所有元数据定位残留项。2.强制重写确保最终步骤使用了qpdf --linearize或ghostscript重写整个文件。3.清除缓存告知用户尝试清除该阅读器的缓存或使用其他阅读器如Chrome浏览器打开验证。处理速度非常慢1. 文件过大或页面过多。2. 内存不足导致频繁交换。3. 进行了复杂的注释扁平化操作。1.监控资源使用任务管理器查看内存和CPU占用。2.分而治之对于超大文件先尝试用qpdf分割处理。3.关闭非核心功能如果不需要关闭注释和书签的处理逻辑。4.升级硬件/环境在内存充足的机器上运行。命令行工具找不到qpdf1. qpdf未安装。2. qpdf未在系统PATH中。1.检查安装在命令行输入qpdf --version确认。2.指定完整路径在代码中将cmd中的qpdf替换为qpdf可执行文件的绝对路径如rC:\Program Files\qpdf\bin\qpdf.exe。3.打包分发将qpdf二进制文件与你的工具一起打包。6.2 实战技巧与心得“先复制再操作”原则永远在PDF文件的副本上进行清洗操作。原始文件务必保留。我的脚本通常会先创建一个带时间戳的临时副本进行处理。日志是救星为你的工具添加详细的日志功能记录每个步骤的操作、遇到的异常、处理的文件数量等。当出现问题时日志是定位原因的第一手资料。Python的logging模块非常好用。提供“试运行”模式实现一个--dry-run或--check选项。在这个模式下工具只解析文件列出将要执行的操作和发现的元数据而不实际修改文件。这能让用户在正式操作前确认无误增加信任感。处理异常编码PDF中的字符串可能使用PDFDocEncoding或各种Unicode编码。在读取或替换元数据字符串时要做好编码转换和异常捕获避免因一个字段编码异常导致整个处理流程崩溃。pypdf在这方面已经做了不少封装但仍需小心。理解“Producer”字段的意义很多清洗工具包括商业软件在清洗后会将Producer字段改为自己的名字如“PDF Scrubber v1.0”。这其实是一种“签名”告诉别人这个文件被处理过。从隐私角度这无可厚非但从“隐匿”角度你可以选择将其清空或设置为一个更通用的值。这取决于你的工具的设计哲学。在线工具的风险网络热词中出现了很多“PDF转Word”、“PDF编辑器”等在线工具。务必警惕切勿使用不明在线工具处理敏感PDF。你的文件会被上传到对方服务器元数据清洗了但文件内容本身可能被留存或分析。对于敏感文件坚持使用本地、可信的工具。