在您自己的个人设备上签署 PDF 非常简单，并且让您可以控制您的数据。在图书馆计算机、酒店商务中心终端、会议室工作站或任何共享办公计算机上签名会带来一个大多数人完全忽视的隐私问题：您的签名图像一旦放入 PDF，可能会在您使用的设备上留下多个可恢复的痕迹。在您关闭浏览器选项卡、注销会话并离开键盘后，这些痕迹仍会持续很长时间。
大多数用户完全忽视了这种风险。
签名数据如何留在共享计算机上
额外的一分钟总是值得的。
当您在共享计算机上使用Sign PDF工具时，您上传或绘制的签名图像不会在您关闭浏览器窗口时消失。现代操作系统和网络浏览器会缓存文件上传，在多个位置存储文档的临时处理副本，并将缩略图预览保留在临时用户从不检查且标准用户注销程序不会清理的目录中。每个保留点都以下一个使用该计算机的人可能恢复的形式存储您的签名数据的副本。
浏览器缓存是主要且最容易访问的数据保留点。当您上传签名图像文件以放置在 PDF 中时，浏览器会在将其传递到 Web 应用程序之前将该文件的完整副本存储在其缓存目录中。在 Windows 系统上，此缓存位于用户配置文件的 AppData 文件夹结构下。在 Mac 系统上，它位于用户 Library 文件夹内的 Caches 目录中。即使完成签名过程并完全关闭浏览器后，缓存的签名文件仍保留在磁盘上。浏览器缓存清理例程可能在几天或几周内不会删除它，具体取决于浏览器配置的缓存保留策略和可用磁盘空间。
基于浏览器的PDF安全工具完全在内存中通告处理文件，减少但不能消除这种数据保留风险。虽然该工具本身可能不会将您上传的 PDF 作为永久文件写入磁盘，但当系统内存受到其他应用程序的压力时，浏览器自身的内存管理可以将包含文档数据的内存页面交换到磁盘交换文件。此交换数据存储在 Windows 上的系统页面文件中或 Mac 和 Linux 上的交换分区中，可以包含签名图像和 PDF 内容本身的连贯片段。任何拥有机器管理权限的人都可以使用取证工具提取这些碎片。
操作系统临时目录是一个额外且经常被忽视的暴露点。许多 PDF 处理工具（无论是基于浏览器的还是本地安装的）都会在处理过程中将文档的临时工作副本写入系统临时文件夹。这些工具通常会在处理完成时删除其临时文件，但标准文件删除不会覆盖物理磁盘上的实际数据。它仅将磁盘空间标记为可供将来的写入操作重用。在实际重用该特定磁盘空间之前，包含您签名的已删除临时文件仍然可以使用任何免费数据恢复实用程序完全恢复。
会话清理与永久数据删除：实际删除的内容
清除浏览器历史记录并关闭浏览器会产生错误且潜在危险的安全感。下表区分了标准注销例程实际删除的内容和它在共享计算机上留下的内容供下一个用户或管理员发现。
| 数据位置 | 注销删除？ | 历史记录清除删除？ | 需要手动删除？ |
|---|---|---|---|
| 浏览器下载历史记录条目 | 不 | 是的 | 不 |
| 上传的文件在浏览器缓存中 | 不 | 取决于设置 | 经常是的 |
| 操作系统临时目录中的 PDF 临时文件 | 不 | 不 | 是的 |
| 资源管理器中的缩略图预览 | 不 | 不 | 是的 |
| 剪贴板内容 | 是（易失性；关闭时清除） | 不 | 不 |
| 内存交换/页面文件数据 | 不 | 不 | 是的;需要安全覆盖 |
浏览器历史记录清除，即使是最彻底的选项（包括删除缓存的图像和文件）也无法可靠地到达操作系统的临时目录。 PDF 处理操作期间创建的临时文件完全位于浏览器的控制范围之外，并且完全由操作系统自己的临时文件清理计划控制，该计划因平台、配置以及系统最近重新启动的时间而异。连续运行数周而不重新启动的共享计算机可能会积累数十甚至数百个先前用户的临时文件。
在共享计算机上签署 PDF 的实用会话工作流程
遵循结构化会话工作流程可以显着降低在共享设备上留下可恢复签名痕迹的风险。此工作流程设计得足够实用，可以在现实世界中遵循，无论您是在出差期间使用酒店商务中心计算机、公共图书馆终端还是您不管理的联合办公空间工作站。
在开始签名过程之前，请验证浏览器是否在私人或隐身模式下运行。私密浏览会话将所有缓存数据写入易失性会话范围存储，当私密会话结束时，浏览器会自动删除这些数据。这一准备步骤完全消除了浏览器缓存作为签名数据保留向量的情况。在导航到任何 PDF 签名工具之前，通过查找浏览器的私密模式指示器（通常是深色主题窗口或遮罩图标）来确认私密模式处于活动状态。
使用不涉及从本地计算机上传图像文件的签名创建方法。使用鼠标、触控板或触摸屏直接在浏览器窗口中绘制签名不会生成上传缓存条目，因为不会发生文件传输。如果您使用的工具中没有绘图输入选项，请使用大多数 PDF 签名工具提供的草书样式脚本字体之一创建打字签名。键入签名选项根本不需要在签名会话期间处理任何图像文件。
签署 PDF 并成功下载完整的签名文档后，请立即结束私密浏览会话，而不仅仅是关闭选项卡。访客档案提供更强的隔离。关闭与私有会话关联的每个浏览器窗口以触发浏览器的会话清理例程。此操作会从易失性存储中清除所有会话范围的缓存数据，包括 PDF 工具在签名操作期间使用的内存中处理工作区。
如果共享计算机的配置允许您访问文件系统，请导航到操作系统临时目录并验证是否不存在与 PDF 相关的临时文件。在 Windows 系统上，可以通过在文件资源管理器地址栏中键入 %TEMP% 来访问该路径。在 Mac 系统上，检查 /tmp 和 ~/Library/Caches 目录。虽然此手动验证步骤会增加您的工作流程大约一分钟，但它提供了在您离开之前机器清除文档处理工件的唯一直接确认。
高敏感度签名的额外隐私措施
对于应用于具有法律约束力的合同、包含个人身份号码的文档或签名一旦恢复可能被滥用的任何文件的签名，需要在基本会话工作流程之外采取额外的预防措施。 PDF 隐私 的含义超出了签名图像本身的范围，涵盖了签名验证并与您的身份相关的完整文档内容。
如果共享计算机提供访客帐户或临时用户配置文件选项，请使用它而不是共享通用登录帐户。 Windows 和 Mac 操作系统上的访客配置文件功能将所有浏览器数据、临时文件、下载和缓存内容隔离到配置文件目录中，操作系统会在访客会话结束时自动将其全部清除。这种配置文件级别的数据隔离比浏览器级别的隔离要强得多，因为它涵盖了系统上的每个应用程序，而不仅仅是 Web 浏览器。
WukongPDF 完全在浏览器分配的内存空间内处理所有上传的文件，并且在签名工作流程期间的任何时候都不会将临时处理文件写入操作系统临时目录。与正确配置的私密浏览会话相结合，该架构将共享计算机上的可恢复数据占用量减少到接近于零，使其成为在用户无法对设备进行完全管理控制的共享计算环境中签署 PDF 的实用且安全的选择。
剪贴板是共享计算机签名工作流程中值得特别关注的另一个保留向量。如果将签名图像复制到剪贴板以粘贴到 PDF 工具中，则剪贴板会保留该图像数据，直到它被后续复制操作覆盖或直到系统关闭。在 Windows 上，最新版本中引入的剪贴板历史记录功能可以在重新启动时保留剪贴板条目，从而使此保留向量比早期操作系统版本中的保留向量更加持久。建议的管理配置是在用于文档签名的共享计算机上禁用剪贴板历史记录。
对于专门为文档处理任务配备共享工作站的组织来说，部署配置有强制隐私浏览策略、禁用下载历史记录以及在一段时间不活动后自动终止会话的浏览器可显着降低残留数据风险，而无需单个用户记住安全会话工作流程的每一步。强化共享工作站环境的管理投资会在每个用户会话中得到回报，而不是取决于每个用户的安全意识和勤奋程度。