Scan to PDF: Sign & Redact 是一款面向 iPhone 与安卓的免费文档扫描软件，可以拍摄纸张、填写并签署表单，并把文字涂黑到真正离开导出的 PDF，而不是藏在一个矩形下面。2026 年 7 月 7 日发布的 2.0 版增加了贝茨编号、AES-256 密码和 PDF/A-2b 归档，全部处理都在设备本机完成。
披露：AppStoryo 由开发 Scan to PDF: Sign & Redact 的工作室运营。下面的对比使用任何人都能公开核实的标准，并且指名真实的替代软件。
相机给你的，是一张斜放在桌上的纸的照片。Scan to PDF 会找出四个角、纠正透视、用对比度滤镜把褪色的收据收拾干净，并在导出为一份 PDF 之前重新排列页序。相册做不到的有三件事：用手指填写并签署表单、运行文字识别，以及把与旁人无关的部分涂黑。
iOS 版体积 97.2 MB，需要 iOS 15.5 或更高版本，也能在 macOS 12.4 的苹果 M1 芯片 Mac 上运行，并以 44 种 App Store 语言发布。可以从 App Store 安装 Scan to PDF，或从 Google Play 安装 Document Scanner PDF。
因为在 PDF 里，矩形和文字是叠放在一起的两个独立对象，而其中只有一个可见。字符仍然留在文件中，可以被选中、被复制。美国加利福尼亚北区联邦地区法院列出了行不通的做法，并把这一种放在其递交材料指南的几乎最前面。以下为英文原文：
Edits made by graphic and "commenting" tools which can black-out, cover over or remove sections of text can still be removed by anyone to reveal the text underneath.
同一页还提醒：把字体改成白色什么也藏不住，删掉的文字会活在元数据里。美国国家安全局早在 2005 年 12 月 13 日的 Redacting with Confidence 中就提出过同样的观点：把 Word 文档转成 PDF 并不会清掉全部元数据。二十一年过去，人们依然在工资单上画一个黑框然后寄出去。
Scan to PDF 把自己的行为描述为烤进导出 PDF 里的真涂黑，而不是一层可以揭掉的覆盖物。这句话正是这款软件存在的理由，也是少数你能在三十秒内亲自验证的商店说法之一。
导出一页已涂黑的文件，用任意阅读器打开，全选、复制，粘贴到记事软件里。如果被涂黑的词冒了出来，那这层涂黑只是化妆；如果那片区域回来时是空的，字符就真的没了。也要把这一页当成图片查看：只清空文字层而把原始照片留在下面，等于什么都没解决。任何扫描软件都该这样试一次。Scan to PDF 在 App Store 和 Google Play 上都能找到。
到了 2.0 版，这款软件不再只是扫描工具，而成了归档工具。更新日志列出：每页的贝茨编号、带自动生成封页的证物标签、印章库、为已签名 PDF 准备的审计留痕页、在 Face ID 背后用自有证书签名、导出时的 AES-256 密码、PDF/A-2b 归档导出、离线文字识别，以及带安全删除的 GDPR 数据导出。
其中两项值得解释。PDF/A-2b 是 PDF 的归档口味，也是美国国家档案和记录管理局接受的永久保存格式；同一个法院页面指出，在把单份递交 PDF 限制在 50 MB 的系统里，PDF/A 文件被退回的比例最低。安全删除之所以要紧，是因为删除并不等于销毁——NIST 第 800-88 号特别出版物画的正是这条界线。
App Store 的隐私一栏对 Scan to PDF 写的是：未收集数据。苹果在自家文档中说明，这些标签由开发者自行声明，并不经过独立核验，所以它应被读作一项承诺而非一份审计。Google Play 页面没有广告也没有内购，文字识别使用平台的本机引擎。
这个对比不是观点，因为几家大软件自己就这么写。Adobe Scan 的页面说扫描件会自动保存到 Adobe Document Cloud；CamScanner 的页面邀请你把文档上传到 Dropbox、Google Drive 和 OneDrive。对一个团队来说这是对的功能，而当你面前那张纸是护照或工资单时，它就是错的功能。
当你需要在不止一台设备上用到这些扫描件时。它没有同步，也没有云端备份——这是有意的设计，但后果是实在的：手机丢了，整个文档库也跟着丢。它也不是 PDF 编辑器，不会去改写别人写好的正文。
还有两点要说清楚。这款软件在 App Store 上一条评分也没有，Google Play 页面显示的下载量只有几十，也就是说没有一群人来告诉你哪里会坏。涂黑的彻底程度也只等于你选择的彻底程度：第 7 页页脚里重复出现的账号，如果你只标了第 1 页，它就会活下来。把文档整份读完，涂黑，然后验证。可从 App Store 安装 Scan to PDF，或从 Google Play 安装 Document Scanner PDF。
两个商店里都免费，页面上既没有内购也没有广告。没有会转成套餐的试用期，没有付费才解锁的导出上限，也不会出现水印。在这个品类里这并不常见：Adobe Scan、Genius Scan 和 CamScanner 都在各自的页面上写明了付费层级。
能。扫描、透视校正、滤镜、签名、涂黑、文字识别和导出全部在手机上运行，这正是 App Store 隐私一栏写着未收集数据的原因。在飞行模式下，或者在没有信号的法院里，它的表现完全一样，也没有任何东西排队等着以后同步。
导出涂黑后的 PDF，用任意阅读器打开，选中这一页全部文字，复制后粘贴到你能读到的地方。重新冒出来的涂黑词句，说明它们从未被删除。接着把这一页当成图片看一遍，确认原始照片没有压在下面。先拿一份丢了也无所谓的文档试。
PDF/A 是 PDF 的归档规格：字体和颜色信息被嵌进文件，二十年后打开仍是同一副样子，任何依赖外部资源的东西一律不许。2b 这一级负责视觉上的忠实。凡是你要永久保存的，就用它：美国国家档案和记录管理局也接受这种格式。
不会。页面上写得很直白：任何东西上永远不会有水印，也不存在一个用来去掉水印的付费层级。这件事比听上去重要：一个横印在已签租约上的商标，常常足以让对方把文件原封不动退回来。
页面描述的是扫描一页、填写、用手指或自有证书签名，然后导出。它没有说明在别处生成的 PDF 能不能导入再签署，所以请把这一点当作未经证实，在依赖它处理有期限的合同之前先在软件里试一试。
贝茨编号会在一组文件的每一页盖上唯一的顺序标识，好让律师、审计人员和保险公司在成千上万页里毫不含糊地指向某一页。如果你从来没用过，那就不需要。如果你要做证物，它就是一套材料和一摞纸的区别。
薄弱的不是加密算法，而是你的密码。AES-256 是 PDF 格式能提供的最强加密，现实中不会被穷举攻破，但六个字符的单词无论后面是什么算法都会被猜中。请用一段长口令，并且通过与文件不同的渠道发送它。
2.0 版更新日志提到带本机语言选择的离线文字识别，但没有逐一列出语言；App Store 上显示的 44 种语言说的是界面，而不是识别引擎。请在软件内查看那个语言列表，尤其是当你要处理非拉丁文字的时候。
不会，这就是交换条件。文档库在 Face ID 背后留在手机上，没有任何内容被上传，也没有服务器留底——隐私标签写着未收集数据正是因为这样。这同时意味着手机丢了，文档库也一并带走：要紧的东西请定期导出。
" }