隐私是一种架构，不是一句承诺：visdraw 如何对待你的图片

很多图片工具都会说自己重视用户隐私，但一句口号无法证明文件是否被上传。这篇文章不重复承诺，而是说明 visdraw 当前怎样读取、处理与导出图片，哪些网站与账户数据可能由相关服务处理，以及怎样检查最关键的图片请求。

最先要确认的问题

当你在网页工具中打开一张照片时，最先要确认的是：图片字节有没有被发送到服务端？ 如果发生上传，就还要继续评估保留策略、静态数据加密、删除时限和访问控制；如果图片没有上传，服务端便不会形成一份需要这些策略保护的图片副本。

一些网页编辑器会说明“上传后再删除”。这是一种政策与运维承诺，依赖上传、存储、访问和清理流程都按预期执行。它可能出于真诚，但风险模型仍然不同于图片不上传的本地处理。

这套架构是怎么工作的

这里使用的是标准浏览器能力，包括文件访问、WebGL、Canvas、内存中的图像对象以及浏览器编码接口。

浏览器的文件权限还限制了页面的访问范围：页面只能读取你主动选择或交给它的文件，不能自行遍历文件夹或扫描整块磁盘。浏览器扩展、被入侵的设备等不属于这一隔离边界，后文会单独说明。

用两分钟自己验证

这一节我们真心建议你动手做一遍——不只是在这里，而是对任何一个你要交付敏感图片的工具都这么做。

1. 1

   打开浏览器开发者工具

   按 F12，或者右键选择“检查”。切到 网络（Network） 面板，它会列出页面发出的每一个请求。

2. 2

   清空日志，然后载入一张图

   先点清空按钮，让列表从空开始，再在编辑器里打开一张照片，看看会出现什么。载入本地文件时，不应该出现任何携带你图片的上传请求。

3. 3

   一边看着，一边真的修一次图

   拖动曝光、涂一处马赛克、应用一个滤镜。查看是否出现请求体明显接近图片体积，或内容类型为图片、二进制上传的出站请求。页面可能仍有与站点运行相关的小请求，不能只凭“有请求”就判断图片被上传。

4. 4

   继续看着，把结果导出

   导出一张 PNG 或 WebP。文件出现在下载目录里，但没有对应的上传请求——因为编码就发生在标签页内。

5. 5

   最后，切换到离线状态

   在页面代码和图片已经加载后，打开飞行模式，或在网络面板勾选 离线（Offline），再尝试继续调整、画笔和导出。如果当前任务仍可进行，可以作为这些操作不依赖实时服务端计算的辅助证据；但这不能单独证明此前没有上传，仍需结合网络请求检查。

网站与账户还会处理哪些数据

“图片不上传”不等于网站完全没有数据处理。visdraw 仍有页面托管、Cookie 偏好和可选账户体系。需要区分的是：你打开的图片与编辑结果不作为编辑素材上传，而普通网站请求、浏览器本地存储和账户认证数据按各自用途处理。

前两行也带来明确限制：服务端不能给你提供“历史作品”图库，无法找回刷新或关闭标签页前未导出的当前图片，也无法直接查看你的原图来排查问题。个人滤镜预设可以保存在当前浏览器，但它不包含原图、文字、画笔、液化或水印内容。

visdraw 服务端不会从编辑流程收到什么

• 你打开图片的像素内容。 人脸、证件、后台看板和未发布设计稿不会作为编辑素材发送到服务端。
• 当前图片被改成了什么样。 裁剪、打码、调色、文字和水印都在当前标签页中完成，服务端没有对应的图片历史。
• 原文件里的 EXIF 与定位。 原图不随编辑请求上传，因此服务端不会从编辑流程收到其中的相机与定位元数据。
• 设备上的其他文件。 浏览器只向页面提供你主动选择的文件，页面不能自行遍历其他本地文件。
• 关闭或刷新前未导出的当前画面。 没有云端图片副本可供恢复；浏览器本地保存的个人预设不等同于图片备份。

这会缩小服务端数据泄露、内部越权访问或司法调取可能涉及的图片范围：服务端没有收到的图片副本，自然无法从服务端系统中泄露或交付。这个结论只覆盖 visdraw 的图片编辑链路，不覆盖你的设备、浏览器扩展、同步目录或最终收件人。

我们的责任边界在哪里

端侧处理避免了图片在 visdraw 服务端形成传输与存储副本，但它不能让你的设备或整个分享流程自动变安全。

如果一张图确实敏感，请把编辑器当作链条中的一环：使用你掌控的设备与可信浏览器环境，采用足够强的打码，并留意导出文件最终去了哪里。visdraw 的本地处理只能降低其中一部分风险，不能替代设备安全和后续文件管理。