加密控制传递过程；移除元数据则控制所传递文件中的内容。
如果照片包含位置元数据，而且这些数据在分享过程中被保留下来，照片就可能暴露拍摄地点。端到端加密本身不会移除附件中的元数据。它保护的是将内容传递给预期收件人的过程，而不是决定这些收件人应该收到哪些细节。
这种风险有前提条件，并非自动发生。相机必须曾记录位置，或有其他工具添加过位置，而且分享的副本仍然包含这些数据。即使没有留下GPS标签，照片中可见的场景也可能暴露地点。
什么是EXIF元数据？
EXIF是一种用于存储图像相关信息的格式，例如相机设置、拍摄时间，有时也包括GPS坐标。并非每张图像都包含所有字段。一些位置信息还可能存放在照片服务的数据库中，而非文件内部。
这个区别很重要：移除照片应用中显示的位置，不一定会改变每个原始文件或每次导出的文件。请检查你打算分享的副本，而不只是查看图库中的地图视图。
加密与移除元数据解决的是不同问题
| 问题 | 相关保护措施 |
|---|---|
| 中间方能在传输途中读取我的附件吗？ | 在支持的情况下，使用经过身份验证的端到端加密 |
| 收件人能看到所收文件中的坐标吗？ | 分享前移除元数据 |
| 别人能从照片中的路牌推测我的位置吗？ | 检查、裁剪或遮挡可见场景 |
| 收件人能转发图像吗？ | 对收件人的信任；加密无法阻止所有复制行为 |
聊天应用可能在图像处理过程中移除元数据，但这是独立于加密的功能。以图像、原图、文档或文件形式发送，可能经过不同的处理流程。不要认为某一种流程的结果也适用于其他流程或应用的后续版本。
有关保护传递过程与控制收件人之间的更广泛区别，请参阅端到端加密能保护什么。
如何检查和移除照片位置数据
在iPhone或iPad上
Apple的个人安全指南介绍了如何在“照片”中查看位置、移除照片的位置，以及在共享表单中关闭位置共享。它也说明了如何阻止“相机”为今后拍摄的图像收集位置。
发送前，请检查所选照片的共享选项。本次分享的设置并不保证今后的所有分享或每个应用都会有相同的行为。如果位置敏感，也要检查生成的副本。
在Google相册和Android上
Google区分相机记录的坐标与在相册中估算或添加的位置。其位置管理指南提醒：下载文件并在其他地方分享时，在相册中所做的更改不一定会改变原始位置数据。
对于今后拍摄的照片，请使用相机的位置设置。对于已有文件，请使用可信的编辑器或元数据移除工具生成新副本，然后检查该副本。不要仅仅为了弄清敏感图像是否包含敏感信息，就将它上传到陌生网站。
如果需要留作个人记录，可以私下保留原始文件。移除分享副本中的元数据，并不要求移除所有私人副本中的元数据。
测试你实际使用的分享流程
一次不涉及敏感信息的小测试，比没有依据地声称某应用所有版本都会移除EXIF的清单更有用。
- 选择一张无害的测试图像，并确保已知其中的元数据。不要使用家庭住址或他人的私人照片。
- 制作已移除敏感数据的副本，并在本地检查其中的位置字段。
- 征得一位可信收件人的同意后，按你计划使用的方式将副本发给对方：图像、文件或原画质模式。
- 请对方检查实际收到的文件，而不只是聊天中显示的图像。
- 如果测试结果对重复进行的工作流程很重要，请记录应用版本和分享方式。
这是一套测试步骤，并非为本文所做测试的报告。本文没有认证任何特定聊天应用移除元数据的行为。
截图会改变什么，又不会改变什么
截图是新生成的图像，并不是将原照片的EXIF数据块直接与像素一起带过来。但它仍可能显示地址、地图、通知或其他可识别身份的细节。因此，裁剪或截图并不等于完成了全面的隐私检查。
同样，没有GPS字段也不意味着图片中没有位置线索。地标、反射影像、徽章和包装都可能透露背景信息。Google在其照片位置隐私指南中明确说明了这一限制。
Livara用户应该如何看待这些问题？
不要根据Livara的附件加密文档推断它会移除元数据。加密和图像敏感数据清理需要各自的证据。在验证某个具体分享流程之前，如果位置敏感，请自行准备文件。
还要区分附件元数据与消息元数据：有关传递过程和通信模式的信息，与嵌入图片中的坐标是不同的问题。无论你多么仔细地准备图像，公开频道都不是私密的一对一聊天。
常见问题
发送照片会暴露我的家庭住址吗？
如果位置元数据被保留下来，就可能暴露照片的拍摄地点，但该地点不一定是你的家，也不总是精确的。可见场景可能提供额外线索。
端到端加密会移除GPS标签吗？
它本身不会。应用可以在加密前另行移除这些标签，但必须检查这种行为，而不能想当然。
文档模式总会保留元数据吗？
它可能保留原始文件。具体行为取决于应用及其版本，因此应先清理文件中的敏感数据，而不是依赖模式名称。
发送后还能移除数据吗？
不能指望删除消息就能抹掉别人已经保存的副本。请在分享前检查文件，并据此选择收件人。
