大多数在线工具要求你把文件上传到服务器、远程处理、再把结果发回。Blurify 的运作方式完全不同——理解为什么这很重要，可能会保护你和你照片中的人。
免费试用 Blurify——在浏览器中模糊与涂黑，绝不上传。
打开工具 →无服务器处理
Blurify 没有后端。没有任何服务器接收、存储或处理你的文件。该应用是纯客户端代码。
无需账号
没有任何东西与身份绑定。你打开工具、处理文件、下载结果——无需登录、无历史记录、无个人资料。
由你的硬件完成工作
你的 CPU、GPU 和浏览器引擎就是处理单元。模糊、涂黑和视频编码全部在你自己的机器上运行。
文件保持离线
你的图片、视频或 PDF 绝不会通过网络传输。从你打开它的那一刻到你下载结果的那一刻，它都留在浏览器的内存中。
大多数在线图片编辑器、视频处理器和 PDF 工具都遵循同一套根本架构：你把文件上传到它们的服务器，它们的后端处理它，再把结果发回给你。它们可能承诺“24 小时后自动删除文件”、提供传输中的 HTTPS 加密，或展示信任徽章——但根本事实不变：你的文件已经离开了你的设备，进入了别人的基础设施。
对于在发到 Instagram 之前处理一张午餐照片，这完全没问题。但模糊和涂黑工具专门用于敏感内容——与随手拍的照片恰恰相反。想想人们通常用它们做什么：
无论其隐私政策如何，这些正是你不想交给第三方服务器的文件。隐私政策是一份法律文件——它可以被更新、被违反、被泄露，或被法律传票调取。而架构层面的隐私则不同：如果数据从未到达服务器，就不存在会保护失败的政策。
Blurify 使用若干浏览器原生技术来执行与基于云的工具相同的操作——但完全在你自己的设备上。以下是你处理文件时发生的全部过程，毫无遗漏。
当你在 Blurify 中打开一张图片或一页 PDF 时，文件会通过 Blob URL 加载进浏览器的内存——这是一个指向存储在 RAM 中数据的临时本地引用。Blob URL 看起来像 blob:http://localhost/a4f2d0e3-...，仅存在于当前浏览器会话中。它绝不会通过网络传输，并在标签页关闭时失效。
模糊和涂黑效果使用浏览器内置的 Canvas API 计算——这是一个硬件加速的 2D 图形渲染系统，自 2008 年起就是每个主流浏览器的一部分。高斯模糊算法由浏览器自身的渲染引擎执行，并在可用时使用你设备的 GPU 加速。生成的合成图像保存在内存中，并通过第二个 Blob URL 提供下载——同样没有任何网络活动。
你可以直接验证这一点。打开浏览器的开发者工具（F12 或右键 → 检查），进入“网络”标签页，筛选“全部”，然后把一张图片加载进 Blurify。应用一个模糊形状并导出。你会看到对构成该应用的 JavaScript 和 CSS 资源的请求，但没有任何包含你图像数据的外发请求。图像绝不会离开你的浏览器。
视频处理比图片处理更复杂，但隐私保证是一样的。以下是完整的流程：
<video> 元素，与图片完全相同。PDF 支持建立在两个成熟、完全在浏览器中运行的开源库之上：
自动人脸检测功能使用 MediaPipe——Google 用于媒体处理的开源机器学习库。当你点击“检测人脸”时，Blurify 会把一个小型的人脸检测神经网络模型（一个约 450KB 的 TFLite 文件）加载进浏览器，并使用浏览器的 WebGL 图形 API 加速，在你的图像上运行推理。该模型完全在浏览器沙箱中运行——你的图像绝不会被发送给 Google 或任何其他服务进行分析。
对此保持完全透明很重要。Blurify 靠广告获得收入，并且像几乎每一个网站一样，使用标准的网页分析。以下是对收集与不收集内容的精确说明（面向中文用户时，Google 的广告与分析脚本不会加载）：
Blurify 使用的分析服务只能看到页面级行为——与它们在任何其他网站上能看到的信息相同。它们无法访问、也无从得知编辑器内部发生了什么，或你处理了哪些文件。
把 Blurify 构建为一个完全客户端的应用，在技术上远比部署一个简单的服务器端处理流程更具挑战性。这份工程投入是刻意的。除了隐私之外，它还带来若干其他实际好处：
由于 Blurify 的处理不需要服务器连接，它在首次加载页面后，能在网络连接有限或没有网络的环境中继续工作。应用的 JavaScript 会被浏览器缓存。无论你在飞机上、处于受限的企业网络环境中，还是面对不稳定的连接，图片和 PDF 处理都能不受中断地继续工作。
基于服务器的工具施加文件大小限制、每日处理配额和速率限制，是因为服务器端处理要花真金白银。你上传的每一兆字节都是带宽，视频处理的每一秒都是服务要支付的算力。Blurify 的处理运行在你自己的硬件上，因此这些成本并不存在。免费版刻意做得很慷慨——每天最多 5 个文件、图片最大 5 MB、视频最长 30 秒——无需账号、无水印，足以覆盖大多数日常任务。如果你经常处理大量或很大的文件，一次性的 Pro 升级（$14.99，无订阅）即可移除所有限制。没有周期性费用，也没有按文件收费，因为没有需要收回的服务器成本。
云服务时常被攻破。即便是安全实践良好、意图善良的服务也是攻击目标。防止数据泄露暴露你文件的唯一彻底保护，就是确保你的文件从一开始就从未被该服务存储。Blurify 通过设计彻底消除了这一风险。
根据欧盟《通用数据保护条例》（GDPR），一张可识别个人的照片属于个人数据。把这样一张照片上传到在线工具，会使你成为一名与第三方数据处理者共享个人数据的数据控制者，从而触发围绕数据处理协议、跨境传输规则、同意记录和泄露通知要求的各项义务。
当处理完全停留在你的设备上时——如 Blurify 那样——这张照片就绝不会变成一个第三方数据处理问题。这对医疗、法律、教育、新闻和社会工作领域的机构尤其相关，在这些领域处理人物照片是家常便饭，但在 HIPAA、英国《数据保护法》或各国健康数据法等行业专门法规下，把它们上传到外部服务器可能受限或在法律上颇为复杂。
你不必只听我们的一面之词。证明 Blurify 纯本地处理最有说服力的，是一个实证的演示——你可以在浏览器中直接验证。
首次加载页面后，网络标签页会归于平静。你的文件完全留在浏览器的内存中。这就是 Blurify 运作方式的技术事实——而非营销说辞。
能。一旦页面加载完毕、应用代码被浏览器缓存，图片和 PDF 处理无需网络连接即可继续工作。使用 ffmpeg.wasm 的视频导出需要先缓存 WebAssembly 程序（首次使用时自动下载）。此后，视频导出也可离线工作。
不会。从 CDN 获取的只是代码——ffmpeg 程序。你的视频数据在代码下载到你的浏览器后，由这段代码在本地处理。CDN 提供的是工具，而非数据。这与从互联网安装任何桌面应用是一样的：安装程序来自外部服务器，但安装之后，软件在你自己的机器上本地运行。
不能。Blurify 不会请求摄像头或麦克风访问权限。它只读取你通过文件选择器或拖放界面明确打开的文件。
关闭标签页时，文件及所有编辑状态都会从内存中清除。Blurify 不会把文件保存到本地存储、IndexedDB 或任何其他持久化浏览器存储。从数据留存的角度看，关闭标签页等同于这次会话从未发生过。
Blurify 目前并非开源，但它完全建立在开源依赖之上——pdf.js、pdf-lib、ffmpeg.wasm 和 MediaPipe——它们全都可被公开审计。如上所述，其处理逻辑也可通过在浏览器开发者工具中检查网络流量来实证验证。