分享前如何安全地给图片打码

截图和图片很方便：一次上传就能说明问题。但它们也很容易带出你原本没想分享的信息，比如浏览器标签、地址栏、客户姓名、背景里的人脸、通知预览，甚至相机位置元数据。

更稳妥的流程很简单：先决定哪些内容必须保留可读，再隐藏其余部分，导出新的图片，最后在发布前重新检查一遍。

1. 先选对隐藏方式

如果图片只需要遮住局部，但仍要保留整体语境，可以用在线图片像素化。它适合处理人脸、背景路人、工位细节、车牌，以及不需要被精确阅读的界面区域。

如果只需要处理一个区域，可以用局部图片像素化。这通常最适合客服截图和报错截图：错误信息可以保留，姓名、工作区名称、邮箱、Token 或账号编号可以单独隐藏。

如果内容属于高风险文本，请用在线图片遮盖。密码、API Key、恢复短语、证件号、银行卡信息、住址、法律文件、医疗信息、私聊内容，都不适合只做轻微模糊。应该用不透明遮盖，让导出的像素里不再显示原始内容。

如果目标是减少干扰，而不是强隐私保护，可以用在线截图模糊。它适合背景窗口、无关文字和版面清理，但小号高对比文字在模糊较弱时仍可能被猜出。

如果主要隐私风险是照片里的人，可以用在线人脸模糊。儿童、路人、患者、学生、客户，或者没有同意公开露面的人，都应该覆盖到足够难以识别。

2. 检查整张图，而不是只盯着最明显的秘密

编辑前，最好从边缘到中心扫一遍。最容易漏掉的是：

• 浏览器标签、书签和地址栏。
• 邮件预览、聊天通知、日历提醒。
• 用户头像、工作区名称、项目名称、文件路径。
• 订单号、工单号、二维码、条形码、地图定位点。
• 玻璃、显示器、手机屏幕或工牌上的反光。
• 照片背景里的门牌、收据、屏幕和招牌。

NIST 关于去标识化的说明提到，去标识化不是单一技术，而是一组方法；通常保护越强，数据剩余的可用性越低。处理图片时也是同一个取舍：保留读者需要的上下文，移除足以识别人或账号的细节。

3. 人脸、截图和文档要分开处理

处理人脸时，不要只遮眼睛。发型、衣服、地点和旁边的语境也可能帮助识别一个人。如果人物是画面主体，且风险较高，优先裁掉或使用更强遮盖，而不是只做装饰性的模糊。

处理截图时，保留读者真正需要的信息：按钮、图表、报错状态或页面布局。隐藏姓名、ID、通知、标签页，以及所有账号相关内容。写 Bug 报告时，通常应该用局部图片像素化，而不是把整张截图都模糊掉。

处理文档时要更严格。关于文档打码的研究显示，在某些文本场景下，马赛克和模糊并不总是可靠，尤其当攻击者掌握上下文时。如果文字必须保密，请用在线图片遮盖做不透明遮盖，并检查导出的文件。

4. 导出新图片，并用原尺寸复查

完成编辑后，下载新的副本，用 100% 缩放打开。问自己三个问题：

1. 被隐藏的文字还有没有任何部分可读？
2. 敏感区域是否完整覆盖，包括标签和旁边的数值？
3. 导出的文件是否只包含已编辑像素，而不是可继续编辑的图层或项目文件？

如果图片来自相机，还要注意元数据。Google Photos 的帮助文档说明，照片可能包含位置信息；许多隐私工具也会把“可见像素编辑”和“元数据清理”分开处理。PixelateImages 在浏览器里完成编辑并导出新图片，但在高敏感场景里，发布前仍建议额外检查元数据。

5. 快速选择表

场景	更适合的工具	原因
隐藏合照里的人脸	人脸模糊	保留自然画面，同时降低被识别概率。
隐藏截图里的一个邮箱	局部图片像素化	保留周围有用界面，只隐藏敏感字段。
隐藏密码、API Key 或证件号	图片遮盖	直接替换像素，而不是把原文变软。
让截图背景不分散注意力	截图模糊	降低背景噪音，让重点更清晰。
把参考图做成像素艺术	图片转像素艺术	目标是风格化，不是隐私保护。

6. 发布前检查清单

• 关键说明仍然清楚可读。
• 个人信息已经留足边距隐藏。
• 高风险文本使用遮盖，而不是轻微模糊。
• 人脸和背景身份线索都已处理。
• 文件已导出为新的图片。
• 已经用正常尺寸和原尺寸各检查一次。

这套流程参考了 NIST 的去标识化说明、ICO 的匿名化介绍、Google Photos 关于照片位置信息的帮助文档，以及关于马赛克和模糊用于文档打码的局限的学术研究。