9月20日下午，B站账号“GitHub开源社区”发了一条五分钟教程，标题开门见山：不想把合同传到陌生网站？自己部署BentoPDF。同一条内容当天以笔记形式发进了小红书，署名“Sealos开源社区”，简介直接给出部署平台和GitHub仓库链接。哔哩哔哩
这类教程的数据形态很特别：采集时这条视频只有1741次播放、67个赞，收藏却有200——收藏是点赞的三倍，典型的“先囤再说”。而评论区恰恰有人替大家把疑虑问了出来：9月21日上午9点51分，一条评论问“最后不还是要把合同传到陌生网址”。一小时后的回复只有半句，却值回整条视频：可以断网后传，因为是本地处理的。哔哩哔哩
BentoPDF 工具界面
“本地处理”四个字，是这波热潮里被用得最滥的营销词。把9月15日到21日这批帖子放在一起看，文件到底出不出门，其实分三层。
第一层，是在线PDF工具：文件真的上传到陌生服务器。9月16日，知乎老问题“使用在线PDF转换工具，如何保障上传文件安全保护用户隐私？”下刚有了新回答。风险清单网上一抄一大把，说到底就一句：你传上去的合同、证件、体检报告，删不删、什么时候删、删没删干净，你无法验证。主流大站都承诺一小时自动删除，但“有承诺”和“能验证”是两回事。知乎
第二层，是浏览器端工具，BentoPDF是这层的代表：文件拖进去，处理发生在你自己电脑里。评论区那篇高赞技术分析说得很直白：代码完全在浏览器中运行，服务器后端压根没有接收文件的功能。官方仓库的自述就一句话：The Privacy First PDF Toolkit。官网则把卖点写得更满：上百种PDF操作、百分百浏览器端运行、免注册。哔哩哔哩GitHubBentoPDF官网
这层最反常识的地方在于：它也是“打开一个网页”。判断文件出不出门，看的不是你用没用浏览器，而是代码在哪跑。热评那句“可以断网后传”就是最便宜的验证法——页面加载完成后拖文件、拔网线，还能干活的是真客户端处理，不能的就是在偷偷上传。一个动作，吊打十篇“隐私软件推荐”清单。
第三层，才是“部署”这个词指的事：自托管。文件不再交给陌生人，但“上传—处理—下载”的路径没变，变的只是服务器归谁：要么是你家电视柜底下的NAS，要么是云厂商里挂你账号的实例。所以热评那一问没有问错——自托管不等于数据不出门，走云端一键部署，文件还是离开了你家，只是去了你租的机器。小红书
Stirling-PDF 首页界面
分清三层，再算三笔账。
钱。在线工具的会员是年年掏；BentoPDF自托管走AGPL-3.0开源协议，个人一分钱不花，仓库里另设面向企业集成的商业授权选项，普通用户用不到；Stirling-PDF同样免费自托管。真正花的是时间账：装Docker、配反代、惦记更新，教程不会把你的时薪算进去。GitHub
算力。教程标题写15.3K Star，很容易让人以为它是这个领域的第一名——9月21日实查GitHub，BentoPDF约15.6K星，而真正的头牌Stirling-PDF已经92K+，仓库简介自称GitHub上排名第一的PDF应用。两者路线正好相反：BentoPDF几乎不吃服务器算力，树莓派、低配额VPS都跑得动，代价是重活全压在你本机浏览器上；扫描件OCR、批量自动化这种硬活，评论区的结论是留给内嵌JVM加LibreOffice和OCR引擎的Stirling-PDF。GitHub哔哩哔哩
暴露面。这是自托管路线最贵的隐性成本，也是教程最爱含糊的部分。9月9日那条飞牛NAS部署教程，标题卖点就是“在外面也能开”。知乎那篇五千字的自建教程，步骤里白纸黑字写着“使用默认的账户密码登录”“登录后默认修改密码”，后半篇则是整节的内网穿透工具带货：号称“只需一条命令，即可将本地服务器、Web服务或任意端口映射到公网，让你随时随地远程访问内网应用”。没人告诉你的另一半事实是：端口对公网敞开的那一刻，你自己那套PDF工具箱就成了别人眼里的新入口——攻击面比传给了在线工具更大，不是更小。哔哩哔哩知乎
Stirling-PDF 默认账户登录界面
还有一笔账是防坑，必须单说。9月21日知乎挂出一篇《担心 PDF 转换泄露隐私？免费本地处理软件推荐》，通篇导流一款国产“极光PDF”，它列的“免费、无水印、本地处理”全是自家宣传口径，无从验证。另一篇自建教程里火起来的“S-PDF”叫法也要留个心眼：它并不是什么行业标准，只是教程作者给“自托管PDF工具”起的简称。焦虑是真的，焦虑上面站着的生意，未必是真的。知乎知乎
最后对号入座。一年就处理几次PDF的普通办公族：不值得为它部署任何东西。系统自带的“打印为PDF”、LibreOffice覆盖合并压缩转换的绝大多数场景；万不得已用在线工具，先过敏感名单——合同、证件、病历、银行流水一律不出门，公开的课件、宣传册没那么金贵。风险分级，不是万物皆恐慌。
不想装软件又在意隐私的人：用BentoPDF这类浏览器端工具，记住那个断网测试，能过就用，过不了就换，别去逐字读隐私条款。
NAS玩家：Docker部署一行命令，真正的功课是回答“我到底需不需要在外面也能开”。不需要就关在局域网里；需要，默认口令先改、公网裸端口别开。轻活挂BentoPDF，OCR批量活上Stirling-PDF，装完先到设置里把遥测看一眼——Stirling-PDF早年就因默认开启匿名遥测引发过争议，后来的版本可以关。哔哩哔哩
要处理上百份扫描合同、需要API和批量的重度用户：浏览器工具不是给你的，走Stirling-PDF或者专业OCR路线，把预算花在服务器而不是会员页上。
两个继续观察的信号：一是“本地替代”类软文如果继续加码，这个选题的清单帖就进入军备竞赛阶段，看到“推荐”标题先查作者是不是只推一款；二是BentoPDF们哪天开始给“账户、云端记录”开门，那“后端收不到文件”的卖点就要打折，老办法再验一次——F12开Network，看一眼拖文件那一刻有没有请求发出去。
带走一句话：PDF圈的“泄露焦虑”是真的，但现在满屏飞的大部分解法，只是在把文件运到你没看清的另一条路上。上传合同之前先问一句——它去的是别人的机器、你的机器，还是你对公网敞开的机器。
