为什么你的文件不该被迫离开浏览器

很多在线工具都一个样：你选一个文件，页面把它上传，服务器处理，结果返回。它快，也方便。但它也是一个特定的隐私决定——而大多数人是在没意识到的情况下做出这个决定的。这篇文章讲清楚这个决定到底是什么，以及”在浏览器里运行”为什么是一种意义不同的模型。

“上传”到底意味着什么

当一个工具上传你的文件，有几件容易被低估的事会发生。

1. 你的文件现在落在别人的设施上。 它至少短暂地存储在一台你不运营、政策由别人写的服务器上。
2. 它可能被保留得比任务更久。 上传往往会被记录、缓存、或留作调试用。“处理完就删”是一句承诺，不是一个你能验证的机制。
3. 它成了关于你的记录。 文件不只是字节；它是证据。一份合同、一封信、一张照片、一张表格——每一个都在说一些你没打算分享的东西。
4. 网络是一个面。 传输途中，文件会经过能被记录或拦截的设施，这与目的地做什么无关。

这些未必是恶意。多数服务是诚实的。重点是：基于上传的处理，其默认就是”你的私人文件在你控制之外被处理”，而负担落在你身上——去相信它没被滥用。

“在浏览器里运行”意味着什么

本地工具做的是相反的事。处理引擎——在 DailyWise 这里是 WebAssembly 模块——在你的设备上运行。你的文件被读取、转换、写回，全程在你的机器上。后果是结构性的，而不是承诺：

• 没有上传，就没有可保留的东西。 文件从没离开，所以服务器上就没有副本。
• 核心任务不依赖网络。 同一套转换离线也能用，因为链路里从来没有远程服务。
• 没有任何第三方看到文件。 不是托管方、不是 CDN、不是日志层——因为没有这一跳。
• 文件的隐私是架构的属性，而不是政策里的一行字。 一个从未收到它的服务器，没法把它泄露出去。

这就是关键区别：基于上传的服务，其隐私是一句你得信任的声明；本地工具的隐私，是代码在哪里运行这一事实的后果。

如何把两者区分开

你通常不用读一行隐私政策就能判断：

• 它离线能用吗？ 断网打开这个工具。如果核心功能还能用，它就是在本地跑。如果失效，文件正在去某个地方。
• 文件大小或配额限制是不是以”上传”为框架表述的？ 围绕上传来表述的限制，是文件离开你设备的信号。
• 它是不是在干那件显而易见的事之前先要账号？ 一个简单转换前面立着账号墙，是”文件（或你）正在被捕获”的信号。

这不代表什么

本地处理不是万能的，诚实地讲清它的极限同样重要。

• 重任务有代价。 很大的视频或复杂转换会吃你设备的内存和 CPU，在一些大服务器能轻松搞定的地方，它可能慢或失败。
• 有些任务确实需要服务端。 困难扫描件的 OCR、或需要完整后端的格式，可能不适合在浏览器里跑。
• “本地”说的是文件，不是站点。 一个本地工具仍然可以给你看广告、种常规分析 cookie。文件是私密的；站点的其他行为仍然该接受正常的审视。

诚实的结论

你不该为了完成一个简单、机械的活，就得把一份私人文件交给陌生人的服务器。当一件工作能在你的设备上完成——而转换、压缩、格式化通常都能——在那里完成它不是一个”功能”，而是一个工具本来就该有的默认。对任何在线工具，你要问的问题很简单：我的文件去了哪里，为什么我得信任它？