安全与文件处理

处理模式与范围

Tools.4PDF.Net 在服务器上处理 PDF。在匿名会话中，浏览器创建任务、上传文件、跟踪状态，并在 Worker 完成处理后获取结果链接。处理量较大的任务会进入专用队列，让界面在处理期间仍可使用。

本页面说明目前采用的技术措施。它并不声称系统不可能受到攻击，也不提供服务尚未公布和验证的 TLS 认证、合规徽章或法律保证。

会话隔离与访问控制

每项任务都属于一个匿名会话。API 会先验证会话，再显示状态、创建下载链接或删除任务。文件不会放在公开目录中。

会话 Cookie 使用 HttpOnly、SameSite=Lax 属性并带有签名。签名有助于服务器发现 Cookie 被篡改，HttpOnly 则限制页面端 JavaScript 的访问。当前工具无需账户，但用户仍需保护自己的设备和浏览器会话。

• 上传和下载链接带有签名，且有效期较短。
• 存储 object 名称不会直接使用用户文件名。
• API 会在处理前检查文件大小、MIME 和格式签名。
• 查看状态、创建链接和删除任务的权限均按会话验证。

文件、链接与数据生命周期

输入文件和处理结果位于私有存储区。签名 URL 只在指定时间内授权访问相关 object 和操作，文件不会成为公开资源。请勿将仍然有效的上传或下载 URL 转发给他人。

任务访问权限会在一小时后失效。清理程序每五分钟运行一次，因此实际删除时间可能会稍晚，存在队列时尤其如此。该机制会限制任务数据的存续时间，但不能代替用户在完成后主动删除任务。

敏感数据保护

用于加密、解密或签署 PDF 的密码在写入数据库前会使用 AES-256-GCM 保护。Worker 只在执行任务时解密这些数据。

对保存的敏感值进行加密，可以减轻存储数据被意外访问时的影响。通过在线服务发送机密信息仍有风险。请只提供任务所需的选项，不要通过支持邮件发送密码，并在测试数字签名流程时使用测试证书。

输入检查与结果可靠性

处理前，API 会检查文件大小、MIME 和格式签名，并拒绝部分不合适的输入。这是一层防护，但不能证明所有获准处理的文件都安全无误。

PDF 可能包含复杂结构、嵌入字体、图像、表单、签名或损坏数据。OCR、转换、修复、压缩和数字签名的结果会因文件而异。用于法律资料、长期存档或重要流程前，用户必须打开并检查输出文件。

• 编辑前保留原文件和一份备份。
• 只上传任务需要的页面和数据。
• 处理后检查内容、页面顺序、可搜索性和保护权限。
• 不要把 Tools.4PDF.Net 当作存储库或唯一副本。

责任与安全限制

任何在线系统都无法消除全部风险。请勿上传超出任务需要的私钥或文档。仅测试数字签名流程时，请使用测试证书。

您负责保护设备、浏览器、会话 Cookie 和下载的文件，确保自己有权处理文档，不分享签名链接，并在不再需要时删除任务。如果文档需要特殊控制措施，请在上传前评估在线服务是否适用。

本安全说明介绍服务的运行方式，不构成法律建议、面向特定机构的风险评估，也不承诺某项措施适合所有数据类型。

报告事件或漏洞

请通过 support@4pdf.net 报告安全问题。请使用不含敏感信息的示例文件，并提供工具名称、发现时间、浏览器、错误代码和复现步骤。请勿附上真实文档、密码、私钥、数字证书或仍然有效的下载链接。

请勿进行超出证明问题所需范围的利用，不要访问其他会话的数据、干扰队列，或在问题得到审查前公开可能危及用户的细节。报告会按严重程度和可复现性进行评估。服务没有公布固定响应时间。