照片隐私威胁模型：分享前应该判断什么

编辑前先回答四个问题

1. 你要分享什么？明确主体、来源设备、画面环境和文件格式。
2. 谁应该看到？写出具体个人、团队、客户群或公众。
3. 对方需要知道什么？定义完成目的所需的最少画面细节和上下文。
4. 哪些信息泄露会造成伤害？考虑地点、身份、账号访问、客户信息、所有权、日常规律和私人环境。

“买家需要看清商品状况，但不需要知道我的家庭位置、设备信息、家人照片或获得原始大图”比简单写“移除元数据”更能指导操作。

风险层 1：隐藏元数据

照片可能包含相机和镜头、拍摄和修改时间、方向、软件、作者、版权、标题、关键词及 GPS。风险取决于场景。摄影师向客户交付授权作品时可能需要保留版权；在家出售二手物品时通常没有必要公开精确地点和设备信息。

先检查源文件，再决定删除内容。接收者不需要的字段可以从公开副本中移除并复查；具有归档、证据或创作价值的元数据留在私有原图里。

风险层 2：画面像素

移除 EXIF 不能隐藏包裹地址、背景人脸、截图账号名或窗外地点。按原尺寸检查整张图，包括边缘和反射，留意屏幕、文档、工牌、车牌、药品标签、学校名、日历、二维码、浏览器标签和通知预览。

根据后果选择处理方式：裁掉无关环境；高风险文字使用不透明遮挡；模糊和像素化可能保留轮廓与上下文。完成后重新打开扁平化导出文件，确认遮挡已经写入像素。

风险层 3：文件和交付上下文

文件名、尺寸、格式和发送方式也可能泄露信息。文件名可能包含姓名、地址、日期和项目标签；全分辨率会保留小预览看不出的背景细节；共享云盘链接可能显示账号名称或让访问范围超出预期。

使用中性文件名、满足目的的最小分辨率和目标平台接受的格式。发送公开副本，不要直接开放包含原图和相邻文件的整个目录。

风险层 4：受众扩散

发送给一个人的图片可能被转发、复制到工单、被公开页面收录，或在原帖删除后继续保留。应把可能的二次受众纳入判断：工单可能传给供应商，商品图任何人都能下载，作品预览可能脱离说明被转载。

水印可以说明所有权或预览状态，但不是访问控制；遮挡能减少可见披露，却无法控制已经分享的副本。真正需要限制访问时，应使用带身份验证、有效期和明确接收者的分享系统。

场景：商品照片

目的：展示状态和尺寸。风险：GPS、家庭背景、快递标签、反射、文件名和过高分辨率。流程：裁剪商品，遮挡标签，移除不必要元数据，调整为平台需要的尺寸，重命名并检查上传后的版本。

不要删除买家判断瑕疵所需的内容。隐私处理是减少无关披露，不是误导商品状况。

场景：技术支持截图

目的：展示错误和触发状态。风险：账号邮箱、客户名、URL 令牌、浏览器标签、书签、通知、文档标题和内部域名。流程：只截取相关区域，用实色遮挡秘密，保留必要错误信息和界面状态，导出后重新打开再附加。

如果原始文档或 PDF 里的文字仍可选择，只修改截图并不会清除原附件数据。应只分享已经复查过的扁平图片。

场景：家庭或旅行照片

目的：与选定受众分享经历。风险：儿童、家庭或学校地点、日常规律、门牌、实时旅行时间和未同意公开的人。流程：先选受众，不需要时移除精确位置，裁剪或遮挡身份细节，避免实时发布位置，并使用平台隐私设置。

这类照片里，画面和发布时间通常比文件字段泄露更多。

场景：作品集或证明图

目的：展示成果而不分发完整资产。风险：客户身份、未发布设计、版权字段、原始大图复用和审批状态不清。流程：确认发布许可，移除客户内部上下文，缩小公开副本，必要时添加清晰的预览水印，同时保留应有署名。

合同或发布流程要求保留所有权元数据时，不要自动删除。隐私与归属有时方向不同，威胁模型应明确这项取舍。

根据模型生成最终清单

• 用一句话写明受众和目的。
• 画面只保留必要细节。
• 不需要的 EXIF、GPS、XMP、IPTC、注释和缩略图已移除并验证。
• 文件名和尺寸适合公开。
• 水印用于说明上下文，不被当作访问控制。
• 最终扁平文件已重新打开并按原尺寸检查。
• 发送方式不会暴露私有原图或目录。
• 平台会重编码时，也检查平台提供的公开副本。

相关工具和下一步

先用 EXIF Remover 处理隐藏字段，用 图片遮挡工具处理可见细节，再用 图片尺寸工具创建较小公开副本。最后按照元数据移除验证指南检查真正要发布的文件。