一、为什么不能只看时间戳
时间戳是文件属性里最容易修改的一项，修改它甚至不需要专门的工具。如果一份材料的全部时间证据只有一个时间戳，那么它在核查里的权重是相当低的。这也是我们在数字类内容里反复强调的一点。
相比之下，文件结构、字体嵌入和缩略图残影这三类痕迹是由生成软件自动写入的，修改它们需要同时修改多个相互关联的字段，成本高得多。
二、四个版本的结构差异
第一版与第二版的结构基本一致，只有嵌入字体列表多了一项中文黑体。这个变化说明第二版在一台没有安装原字体的设备上被打开并重新保存过，否则系统不会主动补入字体。
第三版的文件体积反而变小，同时缩略图缓存里保留了上一版的画面残影。这两个特征同时出现，通常意味着文件经过了压缩另存，而且保存设备沿用了上一版留下的缓存目录。第四版则去掉了全部字体嵌入，改为使用系统字体，这一步通常发生在对外发布前的最后处理阶段。
三、还原出来的路径
把四个版本的特征连起来，可以得到一条大致路径：在一台装有原字体的设备上生成，转到另一台设备重新保存并补入字体，之后被压缩另存，最后清理字体嵌入用于发布。路径中有两次跨越了设备，中间没有出现明显的第三方工具痕迹。
这条路径并不能证明谁发布了文件，但它能说明一件事：从生成到公开之间，文件至少经过了四道手，每一道都可能产生内容上的细微变化。任何以最终版本为依据、去讨论最初数据的说法，都需要把这一层不确定性算进去。