隐私打码：技术不能代替授权
`privacy-photo-remove-face` 适用于隐私优先场景，如活动回顾外发、监控截图共享、社群内容发布等。该场景的核心不是“看不见脸”这么简单，而是“是否仍可被识别”：衣着特征、地点线索、同行关系和元数据都可能暴露身份。建议在处理前明确隐私等级，区分内部留档与对外发布两套规则。技术层面应结合人脸模糊、局部移除、背景弱化等方式，而不是单一滤镜；同时默认剥离 GPS、设备序列和拍摄时间等敏感 EXIF。上线前应做可识别性抽测和合规复核，尤其是涉及未成年人、医疗教育等高敏人群时要提高审查等级。通过“识别风险评估+元数据最小化+双轨发布策略”，privacy 场景才能真正降低法律与舆情风险。 同时应将隐私场景纳入分级审批：普通社媒稿和高敏内容走不同审核路径，涉及未成年人或医疗教育场景时提高门槛。建议在导出阶段自动生成“字段清理报告”，明确移除了哪些 EXIF 信息，避免人工误判。上线后持续抽检外发素材，确认未出现元数据回流或可识别残留。
隐私场景 remove person 建议步骤
- 在 `privacy-photo-remove-face` 明确法规要求的模糊等级与是否禁止云端上传；列出可识别性评估责任人。
- 抽样请人试认；检查 EXIF 是否仍含地理位置或唯一设备序列。
- 对外仅发剥离敏感元数据的版本，内部证据链单独加密归档。
隐私打码（privacy）问答
`privacy-photo-remove-face` 打码到什么程度算「不可识别」？
打码半径应覆盖眼鼻口等可识别特征区；衣着若极具辨识度，可能仍需额外处理或征得同意。
模糊后画面发灰、轮廓反而更醒目？
使用专用模糊或噪声替代反复 JPEG；强对比滤镜有时反而让轮廓更可推断。
活动回顾外发，隐私批处理如何审计？
处理日志记操作者、时间与目的；原图加密存放，外发目录默认剥离 GPS 与设备指纹。
`privacy-photo-remove-face` 能替代肖像授权吗？
不能等同；多地仍要求同意或可识别性评估，打码/移除只是风险缓解手段之一。
模糊五官后，导出的 JPEG 仍带 GPS 怎么办？
对外版本剥离位置与设备类 EXIF，内部证据链另存带元数据的副本并控权限。