How to Redact Sensitive Information from a PDF

您有一份 PDF 文件，其中第三頁有社會安全號碼、第七頁有客戶的住家地址，以及第十二頁表格中藏有銀行帳戶號碼。您需要分享這份文件——給對造律師、監管機構、商業夥伴，或是公開發布——但這些敏感資訊必須移除。

於是您打開 PDF，在社會安全號碼上方畫一個黑色矩形，儲存後寄出。

您剛剛犯了世界上最常見的編輯錯誤。文字仍然在那裡。任何收到該 PDF 的人都可以選取「已編輯」的區域，複製隱藏的文字，然後貼到文字編輯器中。您客戶的社會安全號碼現在就躺在某人的剪貼簿裡。

這並非理論上的風險。美國司法部、美國運輸安全管理局 (TSA)、財星 500 強公司以及處理備受矚目案件的律師事務所都曾發生過。真正的編輯——那種能永久移除資訊的編輯——需要一個特定的流程。在文字上方繪製圖形並不是。本指南將涵蓋什麼是真正的編輯、它與偽編輯的區別，以及三種正確執行編輯的方法——包括一種完全在您的瀏覽器中處理文件的方法，讓敏感內容永遠不會接觸到伺服器。

什麼是真正的編輯

Real Redaction vs. Fake Redaction - What Actually Happens to Your Data

編輯是將文件中的資訊永久、不可逆地移除。不是隱藏。不是遮蓋。是移除。

當您正確編輯 PDF 時：可見文字會被黑色方塊取代，底層的字元資料會從 PDF 的內容串流中刪除，文字變得無法搜尋，無法透過複製貼上或程式化擷取來復原，並且相關的元資料（書籤、註解、表單欄位）也會被清除。如果這些條件中的任何一項未被滿足，您就只是一個視覺疊加——而不是真正的編輯。

PDF 如何儲存文字（以及為何疊加無效）

要理解為何黑色方塊無效，您需要了解 PDF 如何儲存文字。

PDF 頁面是一個內容串流——一連串的運算子，將個別字元定位在畫布上的精確 x,y 座標。文字「SSN: 123-45-6789」被儲存為定位指令，將每個字元放置在特定位置。在該文字上方繪製一個黑色矩形，只是在內容串流中新增了一個圖形元素，但原始的文字運算子保持不變。文字仍然在檔案中。仍然可以選取。仍然可以擷取。

想像一下，在印刷文件的某一行上方貼一張黑紙。墨水仍然在下面的頁面上。真正的編輯是將該行從頁面中完全剪掉並燒毀碎片的數位等價物。

真實編輯 vs. 偽編輯

	真實編輯	偽編輯
視覺外觀	內容上方的黑色方塊	內容上方的黑色方塊
底層文字	永久刪除	仍存在於檔案中
選取與複製	無可選取的內容	文字可被複製
文字搜尋	無匹配	找到匹配項
程式化擷取	未返回資料	完整文字被擷取
元資料	已清除	未變動
可復原？	否 - 資訊已銷毀	是 - 移除疊加層

從外部看，真實編輯和偽編輯看起來完全相同。兩者都有黑色方塊。區別完全在於表面之下發生了什麼——而這個區別導致了近代史上一些最令人尷尬的資訊洩漏。

著名的編輯失敗案例

這些並非假設情境。以下每個案例都涉及主要組織的專業人士，他們認為自己已經編輯了敏感資訊。但他們沒有。

曼納福特案 (2019)

保羅·曼納福特的律師向美國地方法院提交了一份法庭文件，其中他們打算編輯有關客戶與俄羅斯情報部門互動的細節。被「編輯」的部分是黑色方塊——但底層文字完整無缺。記者只需複製貼上隱藏的文字，就揭露了曼納福特曾與俄羅斯夥伴分享民意調查數據。該故事佔據了整個新聞週期。該法律團隊使用了文字處理器的螢光標示功能（黑色螢光標示覆蓋黑色文字），並匯出為 PDF，卻沒有意識到文字層被保留了。

TSA 機場安全藍圖 (2009)

美國運輸安全管理局發布了一份編輯後的機場安全篩檢程序手冊版本。編輯僅僅是簡單的黑色矩形繪製在 PDF 的文字上方。安全研究人員移除了疊加層，並存取了完整的未編輯文件，其中包含篩檢例外情況、執法識別程序和檢查點漏洞的詳細資訊。TSA 不得不修改其整個篩檢協議。

AT&T / NSA 竊聽案 (2006)

在電子前線基金會 (Electronic Frontier Foundation) 對 AT&T 提起的關於無證竊聽的訴訟中，AT&T 提交了一份包含「已編輯」商業機密的法律簡報。編輯是 PDF 中文字上方的黑色方塊。完整文字——描述 NSA 在 AT&T 設施內的監控基礎設施——可以輕易地被擷取。該文件在被撤下之前已被下載數千次。

模式

在每個案例中，失敗模式都是相同的：在沒有刪除文字本身的情況下，在文字上方繪製了一個視覺元素。而犯下這些錯誤的人並非粗心大意——他們是律師、政府官員和安全專業人士。他們使用的工具（文字處理器、基本 PDF 編輯器、註解功能）根本無法執行真正的編輯。

應該編輯哪些資訊？

答案取決於您的監管環境，但以下類別涵蓋了商業文件中最常見的敏感數據。

個人身分資訊 (PII)

社會安全號碼 (SSNs) 和納稅人識別號碼 (TINs)
銀行帳戶號碼和路由號碼
信用卡和簽帳金融卡號碼
駕照和護照號碼
出生日期
住家地址和個人電話號碼
電子郵件地址（當與其他 PII 相關聯時）
生物識別識別符

財務資訊

帳戶餘額和交易記錄
薪資和報酬數字
稅務申報資料
投資帳戶詳細資訊
貸款和抵押貸款資訊
信用評分和信用報告資料

醫療和健康資訊 (HIPAA)

病患姓名與健康數據結合時
病歷號碼
診斷和治療細節
處方資訊
健康保險保單號碼
實驗室結果和醫療影像報告

法律和商業資訊

法庭文件中的未成年人姓名
刑事訴訟中的受害者和證人身份
律師-客戶特權通訊
商業機密和專有配方
密封的法庭記錄和陪審團材料
案件編號和案卷資訊（在某些司法管轄區）
保密和解條款

人力資源和僱傭記錄

員工社會安全號碼和稅務扣繳資料
薪資數字和獎金金額
紀律記錄和績效評估
醫療休假詳情
背景調查結果
內部調查筆記

一般規則：如果資訊可能識別特定個人、揭露其財務狀況、暴露其病史或披露受保護的法律通訊，則在與不需要查看該資訊的任何人分享文件之前，應將其編輯掉。

按文件類型

不同類型的文件傾向於將敏感數據隱藏在不同的位置：

**法律文件：**當事人姓名和地址（尤其是在家庭/青少年案件中）、特權通訊、證人身份、和解條款、財務附件中的社會安全號碼、未成年人姓名
**財務文件：**帳戶和路由號碼、社會安全號碼/納稅人識別號碼、交易詳情、餘額、薪資數據
**醫療記錄 (HIPAA)：**HIPAA 的隱私規則確定了 18 種必須移除以進行去識別化的識別符，包括姓名、地理數據、日期、電話/傳真/電子郵件、社會安全號碼、病歷號碼、健康計畫 ID、帳戶號碼、執照號碼、設備識別符、生物識別數據和照片。違規罰款從每次違規 100 美元到 50,000 美元不等。
**人力資源文件：**稅務表格（W-2、W-4、I-9）上的員工社會安全號碼、薪資數字、紀律記錄、醫療休假詳情、背景調查結果、個人聯絡資訊

方法 1：PDFSub 編輯 PDF 工具（推薦）

PDFSub 的編輯 PDF 工具可執行真正的編輯——編輯標記下的文字會從檔案中永久移除，而不僅僅是視覺上遮蓋。由於該工具完全在您的瀏覽器中運行，包含您敏感資訊的文件永遠不會離開您的裝置。

如何運作

步驟 1：上傳您的 PDF。 將您的文件拖放到編輯 PDF 工具上，或點擊以瀏覽。檔案直接載入到您的瀏覽器中——不會進行伺服器上傳。

步驟 2：標記要編輯的區域。 選取您要移除的文字或區域。您可以標示特定單字、句子、整段文字，或在圖像和圖表中繪製編輯方塊。在您確認之前，該工具會向您顯示確切的編輯內容。

步驟 3：套用編輯。 點擊以套用。該工具會將標記的內容永久從 PDF 的內容串流中移除。文字被刪除——不是隱藏，不是疊加，而是刪除。一個黑色方塊填補了內容原來的空間。

步驟 4：下載。 儲存編輯後的 PDF。您下載的檔案不含任何已移除資訊的痕跡。您可以嘗試選取編輯區域中的文字（沒有可選取的內容）或搜尋已移除的內容（沒有匹配項）來驗證這一點。

為何此方法最適合敏感文件

基於瀏覽器的處理。 整個編輯過程都在您的瀏覽器中進行。您的 PDF 永遠不會通過互聯網傳輸，永遠不會登陸第三方伺服器，也永遠不會被記錄、快取或保留。對於合規性敏感的工作流程來說，這不是錦上添花——而是必需品。

真實編輯，非註解。 文字實際上是從 PDF 的內部資料結構中刪除的，而不僅僅是被遮蓋。編輯後，內容無法復原。

經濟實惠。 與每年 240 美元的 Adobe Acrobat Pro 不同，PDFSub 以更低的成本提供專業編輯。從 7 天免費試用開始，驗證該工具是否符合您的需求。

適用於任何裝置。 在 Windows、Mac、Linux、Chromebook 和平板電腦上編輯 PDF——任何擁有現代網頁瀏覽器的裝置都可以。

方法 2：Adobe Acrobat Pro

Adobe Acrobat Pro 包含一個專用的編輯工具，可執行真正的編輯。它是法律和政府工作流程的行業標準。

如何在 Acrobat Pro 中編輯

步驟 1：開啟編輯工具。 前往「工具」>「編輯」。這將開啟編輯工具列。

步驟 2：標記要編輯的內容。 按一下並拖曳以選取文字，編輯整頁，或使用「尋找並編輯」來搜尋整個文件中的模式（例如社會安全號碼格式）。

步驟 3：套用編輯。 這是許多使用者會錯過的關鍵步驟。標記會在文字周圍放置紅色輪廓——但尚未刪除它。您必須點擊「套用」才能永久刪除內容。

步驟 4：移除隱藏資訊。 使用「移除隱藏資訊」來清除元資料、註解、表單欄位和嵌入式檔案。

優點與缺點

Acrobat Pro 是行業標準，在法律/政府領域廣泛接受，提供批次「尋找並編輯」功能，並能移除隱藏資訊。然而，它的成本為每年 240 美元，需要桌面安裝，並且兩步驟流程（標記後套用）經常是使用者忘記套用步驟時出錯的來源。

兩步驟陷阱

這值得強調，因為它會導致真實的數據洩漏：標記內容進行編輯與實際編輯不同。 標記僅放置視覺指示。文字仍然在檔案中。只有套用才會刪除它。如果您在標記後但套用前儲存並分享，您就分享了一個帶有偽編輯的文件。

方法 3：Mac 上的預覽程式

Apple 的預覽程式（內建於 macOS 中）具有註解工具，可以在文字上方放置黑色矩形。許多 Mac 使用者認為這就是編輯。事實並非如此。

預覽程式實際上做了什麼

當您使用預覽程式的矩形註解工具來遮蓋文字時：

在 PDF 內容上方繪製一個黑色形狀
底層文字完全保持不變
透過點擊並拖曳矩形下方，文字仍然可以被選取
文字仍然出現在搜尋結果 (Cmd+F) 中
任何 PDF 解析工具都可以擷取該文字
註解可以完全移除，顯示原始文字

警告：預覽程式不執行真實編輯

預覽程式的註解不是編輯。 它們與導致前面所述曼納福特案、TSA 和 AT&T 失敗的視覺疊加完全相同。使用預覽程式「編輯」PDF 並分享它，功能上等同於分享未編輯的文件。

截至 macOS Sequoia (2025)，預覽程式不包含真正的編輯功能。如果您使用的是 Mac，請改用 PDFSub 基於瀏覽器的編輯 PDF 工具或 Adobe Acrobat Pro。

如何驗證預覽程式的失敗

親自嘗試：在預覽程式中打開任何 PDF，在一些文字上繪製一個黑色填充的矩形，儲存，重新打開，然後按 Cmd+F 搜尋「隱藏」的文字。它會被找到。它從未被移除。這個 30 秒的測試證明了為何註解工具在用於編輯時很危險。

編輯最佳實踐

選擇正確的編輯工具只是成功的一半。圍繞編輯的流程同樣重要。

1. 編輯後務必驗證

套用編輯後，測試輸出。嘗試選取編輯區域中的文字——如果您能在黑色方塊下方選取任何內容，則編輯失敗。搜尋（Ctrl+F / Cmd+F）您應該已移除的內容。在不同的 PDF 檢視器中打開檔案，因為有些處理註解的方式不同。對於高風險的編輯（法律訴訟、監管提交），請使用文字擷取工具轉儲所有文字，並確認已移除的內容不存在。

2. 移除元資料

編輯可見文字是必要的，但不足夠。PDF 包含可能洩露敏感資訊的元資料：文件屬性（作者、組織、創建日期）、註解和標記、表單欄位數據、嵌入式檔案附件、書籤、JavaScript 和 XMP 元資料。徹底的編輯流程除了可見內容外，還必須移除所有這些。

3. 從副本操作

切勿編輯原始文件。製作一份副本，將原始文件儲存在安全的位置，在副本上執行所有編輯，驗證後，僅分發編輯後的版本。未編輯的原始文件以後可能用於法律訴訟、審計追蹤或內部審查。

4. 使用一致的編輯外觀

在您的組織內標準化編輯的外觀。黑色方塊是法律和政府文件的標準。考慮添加編輯標籤（例如，「已編輯」、「特權」、「已移除 PII」），以便讀者知道內容為何被移除。

5. 記錄與審查

為了法律和合規目的，請記錄誰執行了編輯、何時執行、移除了哪些類別的資訊，以及使用了什麼工具。這將在編輯的充分性受到質疑時，產生一份審計追蹤。

在文件離開您的組織之前，請讓第二個人審查編輯後的文件。新的視角可以捕捉到遺漏的編輯、不完整的移除，以及可能讓讀者從周圍文字推斷出已編輯內容的上下文線索。雙人審查是政府 FOIA 辦公室的標準做法。

批次編輯：尋找和移除模式

當您需要在大型文件中編輯相同類型的資訊時，手動選取變得不切實際。批次編輯透過搜尋模式並一次性標記所有匹配項來自動化此過程。

常見的批次編輯模式：

資料類型	模式格式
社會安全號碼	`XXX-XX-XXXX`, `XXX XX XXXX`, `XXXXXXXXX`
電子郵件地址	`[email protected]`
電話號碼	`(XXX) XXX-XXXX`, `XXX-XXX-XXXX`, `+1XXXXXXXXXX`
信用卡號碼	13-19 位數字序列，通常以四個一組的方式出現
帳戶號碼	8-17 位數字序列，跟隨「帳戶 #」或「Acct」
出生日期	`MM/DD/YYYY`, `Month DD, YYYY`, `DD-MM-YYYY`

工作流程：定義您的模式，跨所有頁面執行搜尋，審查每個匹配項（並非每個模式匹配項都實際上是敏感的），一次性套用，然後手動掃描不匹配您模式的內容。姓名、地址和自由文本描述很少匹配簡單的模式，需要人工審查。

編輯的法律要求

編輯不僅僅是最佳實踐。在許多情況下，這是一項法律要求。

資訊自由法 (FOIA)。 回應 FOIA 請求的聯邦機構必須披露文件，但必須編輯屬於九種特定豁免情況的資訊——包括國家安全資訊、商業機密、個人隱私和執法記錄。州級公開記錄法也施加了類似的要求。不當編輯可能導致訴訟、法院命令和機構處罰。

GDPR。 根據歐盟通用數據保護條例，組織在回應數據主體存取請求（第 15 條）時，必須編輯同一文件中的任何第三方個人數據。「擦除權」（第 17 條）也可能要求編輯組織必須保留的文件中的個人數據。違規行為可能導致高達 2000 萬歐元或年全球收入 4% 的罰款。

HIPAA。 受保護的健康資訊在用於非治療目的披露之前必須進行去識別化。「安全港」方法要求移除前面列出的所有 18 種識別符類別。每次違規的罰款從 100 美元到 50,000 美元不等。

法院命令。 法院經常命令編輯公開文件中的未成年人姓名、商業機密、舉報人身份和密封材料。不遵守可能導致藐視法庭制裁、案件駁回或律師紀律處分。

州隱私法。 加州的 CCPA/CPRA、維吉尼亞州的 CDPA、科羅拉多州的 CPA 和類似的州法律施加了類似 GDPR 的義務。組織在回應消費者數據請求時，必須在披露前編輯第三方資訊。

使用真正的編輯工具。 在文字上方繪製圖形並不會編輯任何內容。文字仍然保留在檔案中。請使用會刪除底層內容的工具。
每次都要驗證。 嘗試選取編輯區域中的文字，搜尋已移除的內容，並在第二個應用程式中進行測試。
處理過程中保護文件。 如果您的工具將 PDF 上傳到伺服器，那麼您的敏感文件現在就位於第三方伺服器上。PDFSub 的編輯 PDF 工具在您的瀏覽器中處理文件——檔案永遠不會離開您的裝置。

編輯錯誤的代價是暴露的社會安全號碼、洩露的病歷、披露的商業機密以及數百萬美元的監管罰款。正確編輯的代價是您花費的幾分鐘時間。

免費試用 PDFSub 的編輯 PDF 工具 7 天，親自驗證敏感內容是否已永久消失。