图片打码为什么不可还原：像素当场被替换

「打码」有两种实现，安全性天差地别：一种是盖一个半透明图层，另一种是改像素。前者只要删掉图层就能还原，后者改完就没了。这个工具选后者，代价是打码不能撤销。

两种实现的区别

盖图层：在原图上叠一个模糊/马赛克图层。视觉上被遮住了，但原始像素完好地留在下面。导出时如果不合并图层（PNG 支持多图层，某些编辑器会保留），拿到文件的人删掉那一层就能看到原文。

改像素：直接把目标区域的像素值替换成模糊后的值。原始数据不复存在，任何后续操作都无法恢复。

这个工具在松开鼠标的那一刻完成替换：模糊是重采样、像素化是降采样、实色是纯色填充。所以撤销、清空标注、调整顺序都拿不回被遮盖的内容，导出图里也只剩打码后的像素。

三种打码方式怎么选

• 实色遮盖：用不透明纯色块盖住。安全性最高，适合密码、手机号、身份证号、银行卡号。
• 像素化（马赛克）：降采样成大块。比模糊安全一点，但仍可被一定程度还原。适合人脸、背景。
• 模糊：高斯模糊。安全性最低，去卷积算法能恢复不少细节。适合「只想降低辨识度」的场景。

选中最安全的那一档总是没错：实色遮盖虽然难看，但它不会给你「以为遮住了其实没遮住」的错觉。

为什么打码不能撤销

如果打码可撤销，就意味着系统保留了原始像素的副本——那么「导出图不可还原」这个承诺就不成立了，因为副本可能以某种形式留在文件或内存里。

所以这里做了一个明确的取舍：打码一旦生效就不可逆，撤销栈里只有标注。打错了用「重新载入原图」回到初始状态重来。

这个交互上的不便，换来的是一个可以对外承诺的安全属性。

打码之后还要检查什么

1. 放大看边缘：打码区域是否完整覆盖，有没有漏掉一两个像素。
2. 看相邻区域：同一张图里可能还有其他敏感信息（角落的时间、通知栏的姓名）。
3. 检查导出文件：导出 PNG 已去掉 EXIF 与图层，但仍建议在别的设备上打开确认一次。

打码是一道容易「看起来做了」但实际没做到位的工序，多花三十秒检查值得。