本地批量水印原理与隐私

一、选择文件不等于上传文件

网页里的文件选择器会在你主动确认后授予页面读取指定文件的权限。浏览器不会因此把整个硬盘开放给网页，也不会自动允许页面遍历未选择的目录。选择普通图片时，Stampdrop 获得文件内容和名称等处理所需信息；选择文件夹时，受支持的浏览器还可能提供相对路径，用于稍后在 ZIP 中恢复目录层级。

页面为预览创建临时对象 URL，并把图片解码成浏览器可绘制的图像。这类 URL 只在当前页面环境中有意义，并不是公开的互联网地址。刷新页面后当前批次通常需要重新选择。由此也能理解一个重要区别：本地处理保护了传输边界，却不是自动备份机制。原图和导出结果都需要你自行妥善保存。

二、Canvas 怎样合成水印

Canvas 可以理解为浏览器内部的一块可绘制画布。Stampdrop 根据原图尺寸建立画布，先绘制照片，再按照图层顺序绘制文字、Logo、二维码或从 EXIF 读取的拍摄时间。位置、边距、大小、颜色、透明度、旋转和平铺都会转化成绘制参数。多图层让不同标记各自保留设置；随机位置则在每张照片允许的位置中选择一个位置。

预览通常会缩放到适合屏幕的大小，但最终导出按照原图像素画布重新绘制。因此判断字体与 Logo 是否合适时，既要看页面预览的构图，也要在导出后以实际尺寸查看一两张。过细的文字在预览里可能清晰，经过 JPEG 压缩或平台二次缩放后却会发虚；过大的半透明 Logo 也可能在高分辨率图上显得比预期更强。

三、编码与 ZIP 仍然发生在本机

合成后的 Canvas 需要编码成可下载的图片。选择“保留原格式”时，工具尽量按每张输入图的格式输出；也可以统一为 JPEG、PNG 或 WebP。JPEG、WebP 的画质值控制有损压缩的取舍，PNG 则是无损格式，因此没有适用的画质滑块。浏览器若不支持 WebP 编码，Stampdrop 会回退到 JPEG 并提示，而不是把图片发到服务器代为转换。

批量结果被加入浏览器内创建的 ZIP。若文件来自文件夹且相对路径可用，ZIP 可以保持目录结构。生成 ZIP 会同时占用内存保存解码图片、画布与压缩结果，所以“免费不限张数”不意味着设备拥有无限资源。遇到数百张超高像素照片时，分批处理往往更稳定，也更容易抽查。

四、本地处理覆盖与不覆盖的隐私范围

它覆盖的是核心素材：Stampdrop 不把照片、Logo 或批次大小上传到自己的服务器来执行水印和导出，也不使用这些文件训练模型。它不意味着访问网站完全没有网络通信。你请求 HTML、CSS 和 JavaScript 时，托管与安全基础设施仍可能看到 IP 地址、浏览器或设备信息、请求时间、路径和响应状态，这是网站交付与防滥用所需的常规数据。

可选 Google 登录会按你的选择处理账户与会话信息；不登录不影响免费水印和 ZIP 导出。页面还保留广告槽，目前只是占位。Stampdrop 计划在 Google AdSense 获批后才启用真实广告，届时广告请求可能涉及第三方 Cookie、设备和页面信息，但本地照片不会因此作为水印素材发送给广告服务。完整说明以隐私政策为准。

五、模板、元数据与设备上的痕迹

你主动保存的水印模板和语言偏好位于当前浏览器 localStorage。它们方便下次复用，但不会自动跨设备同步，清理站点数据或使用无痕模式可能使模板消失。模板中可能含公司名、项目名或二维码文字，因此使用共享电脑后应检查并清理不再需要的模板。

EXIF 拍摄日期来自图片自身携带的元数据。Stampdrop 在能读取时把日期绘制成可见水印，并不保证清除原文件中的其他元数据；输出编码过程是否保留某些元数据也不应被当作隐私清理承诺。如果任务要求彻底移除位置、设备型号等信息，应使用专门的元数据检查工具，并对导出文件重新检查。

六、适合敏感批次的操作清单

1. 在可信设备和更新过的浏览器中打开 Stampdrop，确认地址正确。
2. 只选择完成任务所需的文件，不要把不相关目录整体加入。
3. 避免在水印或二维码中写入超过交付目的所需的个人信息。
4. 先用少量样本确认位置、透明度、格式和文件夹结构，再加入完整批次。
5. 下载 ZIP 后离线解压抽查；保留原图，不要直接覆盖唯一副本。
6. 共享设备使用完毕后，关闭页面，并按需要清理下载记录、文件和站点存储。

如果浏览器崩溃或设备空间不足，不要反复在同一巨大批次上尝试。先关闭占内存的标签页，把图片分组，并选择符合交付需求的格式。隐私和稳定性通常都来自清楚的工作边界，而不是一次塞入尽可能多的文件。