哪些 FileNest 工具真的不上传工作文件？
这不是一句笼统的“隐私优先”。下面把绑定版本的审核工作流逐项拆开：文件内容在哪里处理、是否离开设备、FileNest 是否保存原文件，以及 OCR 的明确云端例外。
当前 OCR 路线
高精度 OCR 的处理位置以执行前工作区显示的本次路线为准。只有当前发布状态、浏览器、语言和设备条件均符合准入要求时，才使用 FileNest 浏览器 Worker，原图不发送到外部 OCR API；其他请求仍通过已披露的 Azure Document Intelligence prebuilt-read 临时云端路径处理。已开始的 FileNest 浏览器识别若失败，不会自动转交外部 OCR。这里描述的是条件路线，不代表自研 OCR 已全面替代 Azure。
查看执行前路线7 类浏览器本地工作流 · 1 个明确云端例外
下表是绑定 commit 的历史审核快照，不是对所有当前高精度请求的路线判定。表中高精度行仅描述 Azure 云端路线；符合当前发布准入条件的浏览器路线请以本页当前 OCR 说明和执行前工作区为准。复核覆盖图片 lazy runtime、源容器预检与 Canvas 重编码层、data/PDF/image 活动批次锁、PDF 确认预览一致性、执行快照与结算恢复、PDF 图片输入的真实 JPG/PNG 字节与 pdf-lib 解码预检、PDF 源文件名派生输出的跨平台清洗、数据转换源文件名派生输出的跨平台清洗、重复扫描隔离及停止/未读情况下的部分结果标记、批量改名的设备工作集检查与本地 CSV 映射解析、CSV/TSV 严格引号状态解析，以及文字文档导出的本地生成和跨平台输出名称清洗。Worker 的 X-Robots-Tag 只影响索引响应头，不改变文件上传或处理边界。账户、额度、分析和支付元数据不被描述为完全离线。OCR truth 来自共享定义；受 pin 源码变化时 Evidence Freshness Contract 强制重审。
绑定生产 commit：b9b8645f。| 工作流 | 处理位置 | 工作文件离开设备？ | FileNest 保存原文件？ |
|---|---|---|---|
| 批量文件改名 | 浏览器本地 | 不会 | 不会 |
| 图片转换、缩放、压缩与增强 | 浏览器本地 | 不会 | 不会 |
| PDF 合并、拆分、提取与图片转 PDF | 浏览器本地 | 不会 | 不会 |
| CSV、TSV 与 JSON 转换 | 浏览器本地 | 不会 | 不会 |
| 重复文件检测 | 浏览器本地 | 不会 | 不会 |
| 文字转 DOCX、PDF、TXT、Markdown 与 HTML | 浏览器本地 | 不会 | 不会 |
| OCR · 本地隐私模式 | 浏览器本地 | 不会 | 不会 |
| OCR · 高精度云端路线（审核快照） | 临时云端 | 会 | 不会 |
“本地处理”到底代表什么
批量文件改名
文件名规则、排序、冲突检查、Pro CSV 映射解析与设备工作集检查均在当前浏览器完成；用户确认下载后会冻结该次预览的执行快照，并在 ZIP 完成前锁定工作集，ZIP 内容、成功计数和下载记录使用同一快照；无效 CSV 不会被部分载入。
账户功能可能保存规则模板或账户级元数据；工作文件内容和 CSV 映射文件内容不因改名而上传。
图片转换、缩放、压缩与增强
这些图片处理路径在浏览器本地执行，包括全分辨率细节锐化与源容器预检；生成的新图片由用户直接下载。
登录或额度型工作流可能产生账户、额度与作业元数据；原图不为这些处理上传。
新 JPG/PNG/WebP 会重新编码；FileNest 不复制源 EXIF、GPS、XMP。需要这些元数据时请保留原文件。
PDF 合并、拆分、提取与图片转 PDF
当前支持的 PDF 合并、拆分、页面提取与 JPG/PNG 转 PDF、设备工作集检查及多结果安全打包判断均在浏览器中完成。用户确认开始前，当前可见文件顺序与处理设置必须与同步意图状态一致，每个输入也必须具备完整操作预览证据；页数与结果数由这批确认预览重新计算并冻结为执行快照，再进行设备容量复核、同步执行锁定与额度预留，处理、成功计数和结果登记只使用该快照。图片转 PDF 会在额度预留前核对实际 PNG/JPEG 文件签名并用最终同一 pdf-lib 解码路径试解码；损坏、伪装内容或不完整预览都会在额度预留前阻断。若本地结果已生成但账户任务结算回执未确认，结果仍可下载，新的 PDF 处理和设置修改会锁定；重试账户同步只结算既有 job，不重新处理或再次预留额度。多结果 ZIP 会先冻结结果快照并同步锁定打包；拆分与提取结果中由源文件名派生的名称会先做跨平台非法字符与 Windows 保留名清洗，再进行重名编号。
额度与作业状态可能由服务器记录；PDF 或图片内容不为这些处理上传。
当前不支持加密 PDF、PDF OCR 或 PDF 转 Office；图片转 PDF 当前仍只处理 JPG/PNG，不因本次完整性预检扩大格式范围。
CSV、TSV 与 JSON 转换
CSV/TSV/JSON 的输入规范化、设备工作集检查、严格引号状态解析、预览、输出序列化、安全打包判断与下载输出名称清洗均在当前浏览器完成。明确选入的受支持文件按选择顺序保留，不再以文件名、大小与 lastModified 元数据静默去重；即使元数据相同也保持为独立输入，输出重名由确定性编号避免覆盖。用户确认转换时会冻结该次文件集合、目标格式、JSON 缩进设置与计数元数据为执行快照，并在本地解析、额度预留和结果登记结束前使用同步执行锁；只有快照中成功解析的文件进入额度预留。若本地结果已经生成但账户任务结算回执未确认，结果仍可下载，但新的转换与设置修改会锁定；“重试账户同步”只重试既有 job 的结算，不重新转换或再次预留额度。多结果 ZIP 会先冻结结果快照并同步锁定打包，避免重复触发或打包中设置变化造成下载内容与界面结果分叉。未闭合引号、未引用字段中的非法引号和闭合引号后的非法字符会在转换前明确拒绝，而不是静默改写数据；由源文件名派生的结果名称会先规避常见跨平台非法字符与 Windows 设备保留名，再进行批次重名编号。
登录账户可能产生额度与作业元数据；表格或 JSON 内容不上传用于转换。
重复文件检测
文件先按大小预筛，再在浏览器分块计算 SHA-256 指纹进行比较；单个候选无法读取时会隔离而不拖垮其他候选。重复文件 CSV 报告也在浏览器本地生成；如果用户停止扫描或存在未读候选，页面与导出报告都会明确标记为非完整结果，并在 CSV 中保留扫描状态、已处理候选数、候选总数和未读数量。
FileNest 不替用户自动删除文件，也不需要上传文件内容完成指纹比较。
文字转 DOCX、PDF、TXT、Markdown 与 HTML
输入正文、预览、固定模板、自定义背景、文档生成与下载输出名称清洗继续在当前浏览器完成；输出名称会规避常见跨平台非法字符与 Windows 设备保留名。
生成次数可能进入账户额度与作业记录；正文与背景图不因生成文档而保存到 FileNest。
OCR · 本地隐私模式
本地隐私模式使用 Tesseract.js 在当前浏览器识别；所选图片不为 OCR 识别上传。首次使用可能下载 OCR 运行资源或语言数据。
浏览器可能首次下载 OCR 语言或运行资源；账户仍可能记录额度与作业元数据。
本地模式不等于完全断网模式；页面资源、可选分析与账户功能仍可能使用网络。
OCR · 高精度云端路线（审核快照）
高精度模式会在用户明确确认后，把所选 JPG、PNG 或 WebP 图片临时提交到 FileNest OCR Worker，再由 Azure Document Intelligence 的 prebuilt-read 模型完成本次识别。第三方 OCR 提供商会按其服务处理本次请求；FileNest 当前实现不把 OCR 原图写入 R2、KV 或 FileNest 数据库。
当前 FileNest 实现不把 OCR 原图写入 R2、KV 或 FileNest 数据库；Worker 将识别结果返回浏览器，并结算账户级作业元数据。
这是明确的云端例外，不应与本地隐私 OCR 混为一谈。第三方 OCR 提供商也会按其服务处理本次请求；生产 OCR 架构变化后，本报告必须重新审核。当前 FileNest 浏览器路线只在满足发布准入条件时使用；此快照不能证明自研 OCR 已全面替代 Azure。
这份矩阵没有声称什么
- “浏览器本地”描述的是工作文件内容的处理位置，不代表整个网站完全离线。页面资源、账户、额度、可选分析和付款仍可能使用网络。
- 这不是对浏览器、操作系统、扩展程序或第三方网络环境的全面隐私审计。
- 高精度云端行只适用于 Azure 路线，不能用于判断已准入的浏览器请求；当前路线以执行前工作区为准。