照片說出的，比畫面更多
2012 年，安全研究員 John McAfee 在貝里斯逃亡。他秘密接受了一家雜誌的採訪，配圖遮住了臉，地點按理說沒人知道，然後這張照片上了網。幾個小時裡，人們找到了他。照片裡嵌著的 GPS 座標直接指向他藏身的飯店。沒有影像分析，也沒有偵探工作。位置從一開始就在檔案裡。
這是極端例子。背後的機制，卻在你手機拍的每一張照片裡。
EXIF 到底是什麼
EXIF（Exchangeable Image File Format）是一塊元資料。拍照的那一刻，相機或手機把它直接寫進照片檔案，和像素分開，除非你特意去看，否則看不見。它不是陰謀，也不是追蹤功能。照片 App 用它按日期排列圖庫、做鏡頭校正、把方向擺正。拿著手機的人很少聽到這些解釋。
一台近期智慧型手機拍的典型照片，可能包括：
- 精確的 GPS 座標，常常準到幾公尺，再加上海拔，有時還有相機朝向
- 裝置品牌和型號，例如「iPhone 17 Pro」，具體到型號
- 鏡頭和相機設定：光圈、ISO、快門速度、焦距
- 編輯它用過的軟體，如果你用編輯 App 處理過
- 精確的日期和時間，常常精確到秒
- 如果裝置上設定過，偶爾還有擁有者或作者名
看著照片的時候，這些都看不見。你得故意檢查檔案才會看到。
誤會：「我用的 App 不是會自動清掉嗎？」
經常會。但不是每次，而例外恰恰是最要緊的那些情況。
Instagram、Facebook、X 這類大平台會在上傳時去掉大部分 EXIF。一部分是為了省流量，一部分是為了使用者隱私。這是真實的保護。但它只在照片走這條上傳路徑時生效。
下面這些情況，元資料通常原樣留下：
- 直接傳送原檔。 AirDrop、郵件附件、按原尺寸傳送的訊息或 iMessage，或者共享雲端硬碟連結。
- 發到不會像社群網路那樣處理圖片的二手平台或分類資訊網站。
- 傳到沒有清除元資料流程的個人網站或部落格。
- 用 USB 或外接硬碟拷貝。
多數人沒想過這個缺口。你習慣了「社群網路會處理」，就忘了相機膠卷裡的原檔。寄給房東的郵件、掛到二手列表上的照片、傳給家人的那張，通常什麼都還在。
實際為什麼要緊
為了在網路上賣沙發而拍的大門照片，GPS 會指向你家的地址。度假時在飯店陽台拍的照片，回家之前發進群組，任何人打開檔案都能知道家裡什麼時候空著。在家中工作室拍的小店商品圖，可能洩露一個本不打算公開的住址。
不需要高明的攻擊者。願意打開檔案屬性的人，或者把照片丟進任何一個免費 EXIF 檢視器的人，就夠了。
怎麼查看自己的照片裡到底有什麼
唯一能確定的辦法是去看。免費的 EXIF 檢視器 在瀏覽器裡讀出每一個欄位，包括 GPS，照片不會上傳。同一頁就能清掉中繼資料，並下載一份乾淨的副本。如果已經確定要刪，EXIF 清除工具 一次點擊就做完。
Privately 的處理不一樣
多數隱私工具用一種很硬的辦法：永遠全部去掉。我們走了另一條路，因為這個取捨有真實的代價。如果照片一匯入就把元資料刪掉，你就永久失去拍攝那段記憶的真實日期。幾年後再翻保險庫，這個日期是有用的。
所以 Privately 預設把原始元資料留在加密保險庫裡面。它已經用 AES-256-GCM 封存，放在那裡並不會多給別人一條讀取的路。真正要緊的選擇，發生在照片離開保險庫的那一刻。匯出或分享時有兩個開關：「包含相機和 EXIF 資訊」和「包含位置資訊」。兩個預設都是開的，所以普通匯出除非你關掉其中一個，否則會保留日期、相機資訊和 GPS。偏執模式（Pro）會在那次匯出裡強制關掉位置，模式開著的時候這個開關也關著。
這就是「匯入時全部刪掉」和「先把記錄留在保險庫裡，等你決定什麼可以出去」之間的差別。
如果這套預設適合你的照片，Privately 可以免費下載。把元資料留在保險庫裡、出去時再選，這部分不在訂閱後面。如果你也在想最私密的照片該放在哪裡，而不只是想什麼會流出去，可以讀為什麼 iPhone 內建的隱藏相簿不等於加密保險庫。