ADR-0063：新建图片 PDF 的不可逆区域脱敏
状态：已接受。
决定
区域脱敏先渲染受支持文档全部页面，清除指定区域的 RGB 像素，再新建只含清理后图像的 PDF。原 COS 对象、文字层、附件、元数据、不可见资源和增量历史均不复制。最终输出不是覆盖原文字的矩形，也不保留底层源图。
区域坐标为查看旋转后的 CropBox 左上角物理 pt，覆盖像素边界外扩一个像素。页面规范化为同物理大小的普通 MediaBox。全文搜索、矢量、表单编辑和原导航等损失必须逐项处理。所有页都必须成功渲染；不能按跳过策略返回声称脱敏成功的缺页文件。
只清除调用方指定的可见区域，不自动识别其他页面或区域中的敏感副本，不执行 OCR。此实现明确选择全页光栅化的损失，不声称保留矢量的选择性对象脱敏。输入权限、签名、非法结构、预算、取消和 I/O 不可忽略。