浏览器本地处理是不是完全安全？
不是。它通过避免上传副本来减少远程暴露，但浏览器、扩展、操作系统和设备仍然重要。用户把导出文件上传到其他平台后，也会离开本地隐私边界。
最后审阅：2026年7月23日
为什么浏览器本地处理比上传到服务器更安全
本地处理更安全的主要原因，是图片不必先成为服务器上的另一份副本，从而减少上传、远程存储、访问链接和删除流程带来的风险。但这不是绝对安全：浏览器、设备和之后上传导出文件的平台仍然重要。
更安全的关键，是少产生一份远程副本
图片在浏览器本地处理时，原文件不必先传到图片处理服务器，也不需要等在服务器存储里。这样会同时减少几个常见暴露点：上传链路、临时对象存储、访问链接、服务器日志、后台任务和到期删除流程。不过，浏览器和设备本身仍然需要可信。准确的说法是“减少数据收集”，而不是“绝对安全”。
本地处理和服务器上传，数据路径有什么不同
| 问题 | 浏览器本地处理 | 常见服务器上传处理 |
|---|---|---|
| 原图是否为了处理离开设备 | 不需要，前提是应用把图片字节留在页面和本地 Worker | 需要，服务器必须先收到一份文件 |
| 是否需要远程保存图片 | 不需要远程图片副本 | 通常需要临时或长期存储 |
| 是否存在上传链接、存储桶和清理任务风险 | 图片路径里没有这些服务器组件 | 这些组件都需要正确授权、监控并按时删除 |
| 资源缓存后能否离线处理 | 通常可以，但受浏览器支持和设备内存限制 | 通常不行，因为必须连接处理服务器 |
| 设备本身是否仍有风险 | 有 | 同样有 |
不收集，比“收集后再保护”少一道风险
HTTPS 和存储加密都很重要，但服务器要修改图片像素，就必须能拿到可处理的文件。本地处理换了一个思路：服务端一开始就不需要这份图片。没有上传副本，也就不会出现因为存储权限配置错误、删除任务失效、客服导出或内部管理页面而暴露原图的问题。
BatchMint 留在设备上的内容
- 当前批次选择的图片字节和解码像素。
- 原文件名、水印文字和本地 PNG/WebP Logo 文件。
- 处理结果、预览和导出压缩包。
- 通过 IndexedDB 保存在当前浏览器配置中的预设和品牌套件。
本地处理不等于网页完全不联网
网站仍要下载 HTML、JavaScript、CSS、字体、Service Worker 和图片编解码资源。公共说明页面还可能加载已批准的广告与同意管理资源。BatchMint 图片处理工作台设置为 noindex，并且不加载 AdSense 站点脚本，但首次打开或编解码器尚未缓存时，浏览器仍要连接网站。这里的准确边界是：所选图片字节、文件名和水印文字不会进入 BatchMint 应用网络请求。
设备一侧仍然存在的风险
- 恶意浏览器扩展或已经被入侵的设备，仍可能读取文件或页面内容，这不在 BatchMint 控制范围内。
- 多人共用同一个浏览器配置时，另一个人可能看到本地预设、品牌套件或已下载结果。
- 图片过多或尺寸过大时，可能占满设备内存并导致标签页不稳定。本地处理把资源压力留给了设备。
- 导出文件一旦上传到 Etsy、Shopify、网盘或邮件，就要遵循对应服务的隐私和保留规则。
怎样自己检查“本地处理”是否属实
不要只看浏览器地址栏的小锁，也不要只相信“browser based”这句话。可以打开开发者工具的 Network 面板，清空记录，选择一张容易识别的测试图，完成处理后检查有没有文件上传、原文件名或水印文字请求。再刷新页面测试一次，因为未缓存编解码器时网络行为可能不同。一份可信的隐私说明，也应该主动说清楚哪些资源仍然联网、边界在哪里结束。
Web 平台资料与 BatchMint 隐私说明
- MDN — 网页如何使用用户选择的文件
了解浏览器怎样把用户主动选择的文件交给网页。
- MDN — Web Workers
了解计算任务怎样在页面主界面线程之外运行。
- BatchMint 隐私模型
查看完整本地数据边界、预期网络活动和限制。
FAQ
服务器使用 HTTPS 后，是否和本地处理一样？
不一样。HTTPS 保护传输过程，但服务器仍会收到文件。本地处理可以从一开始就不收集图片，减少的是远程保存和访问这一类风险。
BatchMint 可以离线使用吗？
应用和编解码资源已经缓存后，可以在浏览器允许的情况下离线运行。首次使用或某个编码器尚未缓存时，仍可能需要网络连接。