为什么文件工具应该验证自己生成的输出
转换和验证应是两个独立阶段。转换产生候选输出；验证器把这个候选结果重新解析或解码，并检查该任务真正重要的属性。只有这样，文件才应被视为可用。
最近技术复核： 2026-09-19
关键结论
- 没有抛出异常不等于结果已经验证。
- 验证器应检查实际生成的字节，而不是只相信转换阶段的内部状态。
- 验证标准取决于任务：合并顺序、遮盖后的缺失性、压缩后的大小减少、图像尺寸都需要不同检查。
- 无法可靠验证的属性应保持 UNKNOWN 或阻止成功，而不能猜测为 PASS。
为什么转换可能静默失败
即使输出丢失页面、改变几何、生成错误格式或保留本应删除的信息，库函数仍可能返回字节。有些错误是语义上的，而不是语法上的。
验证器把候选输出当作新的输入，并根据明确要求重新检查，可以降低这种风险。
不同工具需要不同验证合同
PDF 合并应检查页数、顺序和几何。压缩器还必须证明被接受的输出确实更小。图像压缩应确认格式、尺寸和透明度。遮盖流程必须证明禁止结构和原始信息路径已经不存在。
用于成功声明的属性必须有强制检查。可选或不可靠的检查不能被静默转换为 PASS。
为什么独立重新解析很重要
如果产生结果的内部状态同时也是证明结果正确的唯一依据，同一个缺陷可能同时影响两个阶段。重新解析或解码最终字节能建立更强的边界。
这不会让软件绝对无误，但能把许多隐藏假设变成明确、可测试的合同。
ZAMAZY 的验证模型
ZAMAZY 的专用工具遵循“先转换，再验证”的模型。候选输出不会仅仅因为处理结束就被视为成功。
强制检查按工具定义，并采用安全失败策略。不受支持或无法可靠验证的条件不会被描述为已证明可用。
实际流程
- 生成候选输出，不覆盖源文件。
- 把候选结果当作一个新文件重新解析或解码。
- 将任务特定属性与预期结果进行比较。
- 只有所有强制检查都成功时才允许下载。
示例与决策参考
假设合并工具写出了结构有效的五页 PDF，却把附件放在封面之前。只做结构检查可能通过，但任务仍然失败。同样，图像可以成功解码，却具有错误尺寸或不希望出现的像素变化。真正有用的问题是：哪一个必须满足的属性确实与计划进行了比较。
合并时检查页数、顺序和几何；压缩时要求输出在可接受的同时确实更小，并通过声明的保留检查；遮盖时要区分“禁止结构不存在”和“用户标记区域被正确替换”。当强制的受支持结果检查没有通过时，ZAMAZY 会阻止成功下载状态；即便如此，分享前仍应人工检查结果。
哪些情况下不适合这种方法
检查文件格式 magic bytes 不等于验证加密数字签名。输出通过验证也不能证明所有敏感区域都被选中、所有设备都受支持或任何平台都会接受文件。UNKNOWN 必须与 PASS 区分。单个说明性场景不是 benchmark、独立审计，也不是对所有输入的保证。
编辑性示例，不是 benchmark。补充内容复核日期：
来源与证据边界
这些来源用于解释格式和方法，并不认证 ZAMAZY。ZAMAZY 实际支持的事实与限制以对应工具页面为准。
- PDF-LIB: PDFDocument API — 页面复制原语；不等同于完整的 ZAMAZY 保留性验证。
- W3C: PNG Specification, Third Edition — PNG 像素、Alpha 与 chunk；不表示所有 PNG 变体都受支持。
- Google: WebP Container Specification — WebP 模式、Alpha、动画和元数据容器。
常见问题
为什么刚生成的文件还要重新打开？
因为最终字节才是真正的产品。重新解析可以发现内部状态没有暴露的损坏、错误格式、缺失页面或属性变化。
浏览器能验证所有文件属性吗？
不能。有些属性可能超出受支持解析器或浏览器环境的能力。这些情况应标为不支持或未知，而不能虚构为成功。
验证能保证任何外部平台都会接受文件吗？
不能。它只证明工具支持合同中定义的技术属性。第三方平台可能应用额外规则。