需要从照片、文档或视频中提取隐藏元数据（GPS、设备序列号…

当你拿到一个文件想查明它真正来自哪台设备、谁写的、何时拍的、是否被编辑过时，用 exiftool 及其配套手段提取并解读内嵌元数据。

适用场景

解决思路

1. 先按来源判断期望值：从社交平台下载的图片通常已被重新编码、元数据被剥离，应改用 find-the-original-image 找未剥离的上游副本；来自论坛、CMS 或直链的文件往往保留原始字节，GPS 更可能幸存；消息附件中『以照片发送』通常被重编码，『以文件发送』通常不会。
2. 对单个文件做完整读取：`exiftool -G1 -a -u -g1 file.jpg`（按组分区显示全部标签，最适合阅读）；`exiftool -G -a -u -s file.jpg`（每行一个标签、显示真实标签名）；`exiftool -time:all -G1 -a -s file.jpg`（列出文件内所有时间戳）；`exiftool -gps:all -n file.jpg`（GPS 输出为带符号十进制，可直接贴到地图）。
3. 理解各参数为何必要：`-G`/`-G1` 给每个标签加组前缀（[EXIF]、[XMP]、[IPTC]、[MakerNotes]、[File]、[Composite]），否则无法区分设备写入的值与 exiftool 计算的 Composite 值、也无法区分 EXIF 时间与文件系统时间；`-a` 保留重复标签而非只显示最后一个，重复标签值不一致说明文件被编辑过；`-u` 显示 exiftool 无名称的标签，厂商块常是关键；`-n` 关闭美化输出；`-s` 显示标签名以便再次查询；`-ee` 提取内嵌数据（含视频流中的 GPS 轨迹）。
4. 批量分诊：`exiftool -r -csv -filename -createdate -datetimeoriginal -modifydate -make -model -serialnumber -gpslatitude -gpslongitude -software DIR > triage.csv`，然后排序 CSV 找哪些文件带 GPS、重复出现的 SerialNumber、超出声称时间窗的时间戳、以及 Software 与众不同的那一个；用 `exiftool -r -if '$gpslatitude' -p '$directory/$filename $gpsposition' DIR` 只列出带 GPS 的文件。
5. 解读 GPS 字段：位置来自 GPSLatitude/GPSLongitude 及其 Ref 标签，高度来自 GPSAltitude 加 GPSAltitudeRef；容易忽略但更重要的有 GPSImgDirection（相机指向的罗盘方位，可定位拍摄者并确定视角朝向）、GPSDestBearing（指向被摄体的方位）、GPSHPositioningError（设备自报的精度，单位米，是结论的诚实半径）、GPSDateStamp/GPSTimeStamp（UTC，是文件里唯一可信的时钟）。
6. 解读设备指纹：Make/Model 给出设备类型；SerialNumber、BodySerialNumber、InternalSerialNumber 或 CameraSerialNumber 标识同一台物理机身，是跨账号、跨平台、跨年份做关联分析价值最高的标签；LensSerialNumber 标识镜头，机身+镜头组合更精确；厂商的快门数与图像编号标签可给设备产出排序并估算两帧之间的拍摄量；OwnerName、CameraOwnerName、Artist 是用户设置，常含真实姓名。
7. 解读时间戳：DateTimeOriginal 是快门触发时间；CreateDate 是这个数字文件被创建的时间（相机上相同，扫描/导出/重编码后不同）；ModifyDate 是最后写入时间，晚于 DateTimeOriginal 说明经过处理。陷阱：EXIF 日期时间不带时区，除非存在 OffsetTime/OffsetTimeOriginal/OffsetTimeDigitized（很多设备省略），否则是设备本地时间；应与 UTC 的 GPSDateTime 对照反推设备时区偏移，这本身也说明设备被设定在哪个经度带。绝不要把 FileModifyDate 当作照片证据，它属于你正在看的文件系统，复制即变。
8. 对比缩略图与主图：粗糙的编辑器只更新主图而留下内嵌预览，预览可能显示裁剪或修图之前的画面。用 `exiftool -b -ThumbnailImage file.jpg > thumb.jpg`、`exiftool -b -PreviewImage file.jpg > preview.jpg`、`exiftool -ee -b -JpgFromRaw file.cr2 > embedded.jpg` 提取；宽高比不同即证明裁剪，内容不同则直接成案。
9. 追踪编辑链：Software、ProcessingSoftware、HostComputer 及 XMP 的 CreatorTool 说明什么程序动过文件；XMP 媒体管理标签更进一步——DocumentID、OriginalDocumentID、InstanceID、DerivedFrom 能把导出的衍生文件关联回你从未见过的源文件及同源的其他衍生文件。
10. 处理新闻/通讯社图片：重点看 IPTC 与 XMP 块中的 By-line、Credit、Source、Caption-Abstract、Headline、DateCreated、City、Country-PrimaryLocationName，以及 XMP 的人物在图中与拍摄地结构；这些是编辑人工撰写的信息，应视为有出处的声明而非传感器读数。
11. 处理 Office 文档：Author 与 LastModifiedBy 是两个关键人名；Company 与 Manager 来自 Office 安装信息；Template 可能含暴露内部服务器与部门的完整 UNC 路径；RevisionNumber 与 TotalEditTime 显示文档是被反复修改还是一次成稿以显得正式；LastPrinted 证明存在过纸质副本。随后解压容器，因为 exiftool 不暴露修订记录中的逐作者身份：`unzip -o report.docx -d report_x`，检查 docProps/core.xml 与 docProps/app.xml（属性）、word/document.xml（w:ins/w:del 带 w:author 与 w:date）、word/comments.xml（批注作者与缩写）、word/settings.xml（修订标识符，文档谱系指纹）、word/media/（内嵌图片，各自带完整 EXIF）、word/_rels/ 与 xl/externalLinks/（指向内部路径与其他文档的链接）。内嵌图片是实践中被漏掉最多的 GPS 来源：文档被清洗了，粘到第四页的照片没有。
12. 处理 PDF：Producer 指明写文件的库或驱动，是很强的线索——一个『扫描件』若由文字处理软件生成就从未被扫描过；Creator 指明创作程序；PDF 日期与 EXIF 不同，带时区偏移；PDF 支持增量更新，早期版本内容可能仍在文件内，且可携带保留自身元数据的附件与图片。用 `pdfimages -list` 与 `pdfdetach -list` 枚举，用 `qpdf --qdf` 展开结构后再读。
13. 按置信度分级结论：Confirmed（元数据声明被非元数据证据佐证，如 GPS 与同帧的独立视觉定位吻合、相机序列号出现在两个无关联来源的文件中、文档作者匹配 find-anyone 找到的已知员工）；Probable（来自合理设备、来自不剥离元数据的主机、EXIF/XMP/内嵌缩略图时间戳一致、编辑链中无编辑器）；Unconfirmed（孤立标签无从核对，所有未经视觉验证的 GPS 坐标都在此级，标注清楚即可）；Contradicted（时间戳互相矛盾、缩略图显示不同场景、视觉证据排除 GPS、来源否认使用过的编辑工具——矛盾本身就是发现，往往比原标签更有价值）。
14. 注意剥离发生在入口环节：重新编码生成分发版本的主机会丢弃 EXIF，直接回传原始字节的主机会保留；大型社交平台会重编码，许多论坛、自建 CMS、对象存储桶、摄影社区和邮件附件不会；CMS 是中间态——页面上缩放后的图被剥离，媒体目录里的原始上传仍完整，应设法访问原始路径。
15. 先哈希并复制再动手：旋转、裁剪甚至用某些编辑器打开都会重写标签，编辑后再提取不可恢复。
16. 离线安装 exiftool 使用，不要用在线元数据查看器——那等于把证据上传给陌生人；浏览器本地工具优于服务端工具，但对受保护令、保密协议或正在进行的刑事案件两者都不可接受，假定上传的内容会被保留并可能被索引。
17. 把结果转给后续技能：GPS 坐标与相机方位转 where-was-this-taken、geolocate-from-pixels；作者/所有者/艺术家/批注作者转 find-anyone；公司、模板 UNC 路径、内部共享名转 x-ray-a-company、recon-a-domain-passively；相机或镜头序列号关联多文件转 graph-the-network；暗示造假的软件链转 is-this-photo-real；疑似账号的编辑用户名转 hunt-a-handle；需要未剥离的原图转 find-the-original-image、read-deleted-pages。

适用边界 · 注意事项

• 元数据缺失不能证明任何事——不能证明被清洗、不能证明是伪造、不能证明上传者谨慎；只能写『无 EXIF』，除非能拿出曾含 EXIF 的副本，否则不要写『EXIF 被移除』。
• 元数据存在只证明有人写入过某个值，不能当作事实；位置需用 geolocate-from-pixels 视觉佐证、时间需用太阳位置佐证后再依赖。
• 相机时钟常不准（漂移、旅行后未改时区、忽略夏令时），裸 EXIF 时间在未与 GPSDateTime 或画面中可定日事件锚定前有数小时误差；Composite 标签（GPSPosition、ImageSize、LensID）是 exiftool 的计算结果而非文件内容，无 -G 时会把计算值当成设备写入值引用；截图携带的是截图设备的元数据而非照片的，建立推论前先确认 Model 是不是手机。