照片说出的，比画面更多
2012 年，安全研究员 John McAfee 在伯利兹逃亡。他秘密接受了一家杂志的采访，配图遮住了脸，地点按理说没人知道，然后这张照片上了网。几个小时里，人们找到了他。照片里嵌着的 GPS 坐标直接指向他藏身的酒店。没有图像分析，也没有侦探工作。位置从一开始就在文件里。
这是极端例子。背后的机制，却在你手机拍的每一张照片里。
EXIF 到底是什么
EXIF（Exchangeable Image File Format）是一块元数据。拍照的那一刻，相机或手机把它直接写进照片文件，和像素分开，除非你特意去看，否则看不见。它不是阴谋，也不是追踪功能。照片 App 用它按日期排列图库、做镜头校正、把方向摆正。拿着手机的人很少听到这些解释。
一台近期智能手机拍的典型照片，可能包括：
- 精确的 GPS 坐标，常常准到几米，再加上海拔，有时还有相机朝向
- 设备品牌和型号，例如「iPhone 17 Pro」，具体到型号
- 镜头和相机设置：光圈、ISO、快门速度、焦距
- 编辑它用过的软件，如果你用编辑 App 处理过
- 精确的日期和时间，常常精确到秒
- 如果设备上设置过，偶尔还有所有者或作者名
看着照片的时候，这些都看不见。你得故意检查文件才会看到。
误会：「我用的 App 不是会自动清掉吗？」
经常会。但不是每次，而例外恰恰是最要紧的那些情况。
Instagram、Facebook、X 这类大平台会在上传时去掉大部分 EXIF。一部分是为了省流量，一部分是为了用户隐私。这是真实的保护。但它只在照片走这条上传路径时生效。
下面这些情况，元数据通常原样留下：
- 直接发送原文件。 AirDrop、邮件附件、按原尺寸发送的信息或 iMessage，或者共享云盘链接。
- 发到不会像社交网络那样处理图片的二手平台或分类信息网站。
- 传到没有清除元数据流程的个人网站或博客。
- 用 USB 或外接硬盘拷贝。
多数人没想过这个缺口。你习惯了「社交网络会处理」，就忘了相机胶卷里的原文件。发给房东的邮件、挂到二手列表上的照片、发给家人的那张，通常什么都还在。
实际为什么要紧
为了在网上卖沙发而拍的大门照片，GPS 会指向你家的地址。度假时在酒店阳台拍的照片，回家之前发进群聊，任何人打开文件都能知道家里什么时候空着。在家庭办公室拍的小店商品图，可能泄露一个本不打算公开的住址。
不需要高明的攻击者。愿意打开文件属性的人，或者把照片丢进任何一个免费 EXIF 查看器的人，就够了。
怎么查看自己的照片里到底有什么
唯一能确定的办法是去看。免费的 EXIF 查看器 在浏览器里读出每一个字段，包括 GPS，照片不会上传。同一页就能清掉元数据，并下载一份干净的副本。如果已经确定要删，EXIF 清除器 一次点击就做完。
Privately 的处理不一样
多数隐私工具用一种很硬的办法：永远全部去掉。我们走了另一条路，因为这个取舍有真实的代价。如果照片一导入就把元数据删掉，你就永久失去拍摄那段记忆的真实日期。几年后再翻保险库，这个日期是有用的。
所以 Privately 默认把原始元数据留在加密保险库里面。它已经用 AES-256-GCM 封存，放在那里并不会多给别人一条读取的路。真正要紧的选择，发生在照片离开保险库的那一刻。导出或分享时有两个开关：「包含相机和 EXIF 信息」和「包含位置信息」。两个默认都是开的，所以普通导出除非你关掉其中一个，否则会保留日期、相机信息和 GPS。偏执模式（Pro）会在那次导出里强制关掉位置，模式开着的时候这个开关也关着。
这就是「导入时全部删掉」和「先把记录留在保险库里，等你决定什么可以出去」之间的差别。
如果这套默认适合你的照片，Privately 可以免费下载。把元数据留在保险库里、出去时再选，这部分不在订阅后面。如果你也在想最私密的照片该放在哪里，而不只是想什么会流出去，可以读为什么 iPhone 自带的隐藏相册不等于加密保险库。