判断标准只有一条：密钥是否只在你的设备上生成并保存。服务端托管密钥时平台技术上可解密，端到端加密时平台只拿到密文，上传前先确认密钥归属。
敏感文件上传后平台能不能看到，答案不取决于平台大小，而取决于密钥握在谁手里。判断方法有三步：一看加密发生在哪一端——在你的手机或电脑上先加密再上传，平台收到的只是密文；二看密钥存在哪——密钥若由服务端托管，平台在技术上具备解密条件；三看密码丢了会怎样——如果平台能帮你重置密码并恢复文件，说明密钥在它手上。实操上，上传前先读隐私政策里的加密说明，把文件按敏感程度分级存放，对高敏感文件单独设密码，再做一个简单验证：改一次密码，看旧文件是否仍需原密码才能打开。常见的坑是把 HTTPS 传输加密当成“看不到”，把服务端加密当成端到端加密，把“隐藏”“密码锁”这类界面功能当成加密。
三个加密层次，决定谁能看到
传输加密（HTTPS/TLS）保护的是文件在路上的那一段，落地存储后是否可读是另一回事。服务端加密是平台拿着钥匙替你锁柜子，柜子锁了，钥匙在它手里。端到端加密是钥匙只在你手里，平台拿到的是密文，即使存储被拖走也读不出内容。三者的分界线不在算法强弱，而在密钥归属。
三个问题自查
第一，密钥在哪生成？设备端生成且从不上传，才有“看不到”的可能。第二，密码忘了谁说了算？必须由平台重置才能恢复文件，意味着密钥可被平台取得。第三，单份文件能否独立加密？全部文件共用一个密钥、一个密码，风险是集中的。这三个问题各花一分钟就能问清楚，比看一页宣传语有效。
四个上传前动作
读加密说明，确认写的是“端到端”还是“服务端加密”；把文件分级，普通凭证与高敏感凭证分开放；对高敏感文件单独设密码；改一次密码做验证测试。另外两点也值得确认：删除后文件是否真正从服务端移除，备份保留多久。
常见误判
HTTPS 不等于存储不可见；服务端加密不等于端到端；文件夹隐藏、界面密码锁不等于加密；能“协助找回”通常意味着可解密。这些词在宣传页上经常混用，看的时候盯住“密钥”两个字即可。
分级加密怎么落地
看山贵纸-证件文件柜把凭证按密级分开处理：普通级密钥由服务端托管、以信封方式包裹；敏感级与机密级采用端到端加密，密钥不随文件一起上传。密钥派生使用 PBKDF2-SHA256、150000 次迭代，每个用户独立随机盐；内容加密使用 AES-256-GCM，按 1MB 分片，每片独立随机向量与校验标签，密文绑定单据，错位或换片都会导致校验失败。传到云端的是密文，数据存放在中国境内。产品另设隐藏柜格与诱饵空间，让私密文件从可见列表里消失。它是否适合你，仍回到那三个问题：密钥在哪生成、密码忘了谁说了算、单份文件能否独立加密。