先看结论
文件通常有两类时间。一类是操作系统为设备上的这份文件记录的“创建时间”和“修改时间”；另一类是许多照片、PDF、Office 文档和视频保存在文件内部的时间，例如照片的拍摄时间。第一类时间在复制、下载或同步文件时经常变化，第二类会跟着文件走，所以查找“原始创建时间”应优先看它。
查看电脑记录的时间
这个时间描述的是这台设备上的这份文件，不一定等于内容最初被制作的时间。
- Windows：右键文件，选择“属性”，在“常规”选项卡中查看创建时间、修改时间和访问时间。对部分文件类型，“详细信息”选项卡还会显示保存在文件内部的日期。
- macOS：在 Finder 中选中文件并按 Command-I。在“更多信息”中，部分文件类型除了文件的“创建时间”，还会显示“内容创建时间”。
- macOS 终端：运行 stat -f %SB 加文件名，可以打印文件的创建（出生）时间。
- Windows PowerShell：运行 (Get-Item '文件名').CreationTime，可以打印创建时间。
查看文件内部保存的时间
元数据查看器会在浏览器中读取受支持的图片元数据，不会上传或修改文件。对 JPG、PNG、WebP、HEIC 和 HEIF 照片，可在“日期”分组中查看“拍摄时间”“数字化时间”等字段；PNG 还可能显示修改时间块。
- 打开查看器，选择原始文件，而不是截图或经聊天应用重新保存的副本。
- 先看“日期”分组。“拍摄时间”通常最接近照片被拍下的时间。
- 再对照“数字化时间”和“文件修改时间”。差距很大，可能说明图片后来被编辑过或是扫描件。
- 如果没有出现日期，可能是文件本来就没有，也可能已被清除。不要把空结果当作文件制作时间的证明。
PDF 和 Office 文件各有只读检查工具：PDF 元数据检查器显示 PDF 的创建与修改日期，Office 元数据查看器显示 DOCX、XLSX 和 PPTX 的创建与修改属性。视频文件可使用视频元数据检查器，查看文件中是否带有创建时间。
各类文件把时间存在哪里
| 文件类型 | 常见日期字段 | 查看位置 |
|---|---|---|
| JPG、HEIC、HEIF 照片 | EXIF 中的拍摄时间、数字化时间、文件修改时间；如有，还包括 XMP 日期 | 元数据查看器 |
| PNG、WebP | 常常没有。部分文件带有 EXIF、XMP 或 PNG 修改时间 | 元数据查看器 |
| CreationDate 与 ModDate，由生成或修改 PDF 的程序写入 | PDF 元数据检查器 | |
| DOCX、XLSX、PPTX | 文档属性中的创建与修改时间 | Office 元数据查看器 |
| MP4、MOV、M4A | 容器内的创建时间，前提是录制设备或剪辑软件写入过 | 视频元数据检查器、音频元数据查看器 |
文件类型有某个日期字段，不代表这种类型的每个文件都填写了它。
为什么两类时间常常对不上
- 复制、下载、从备份恢复或同步文件时，新副本可能得到新的电脑记录时间，具体取决于系统和应用。
- 再次保存文档会更新修改时间，编辑软件也可能重写文件内部保存的日期。
- 许多聊天应用和社交平台会重新编码图片或剥离元数据，你收到的文件可能已丢失原始时间。
- 截图记录的是截屏的时间，而不是画面内容生成的时间。
- 相机时钟可能设置错误，软件也能编辑保存的日期。这些时间只是文件自己的记录，不是独立的证明。
分享文件之前
文件内部的时间可能透露照片的拍摄时间、文档的起草时间或编辑时长。如果不想分享这些信息，先扫描文件，再用对应的清理工具删除受支持的日期字段，并对下载后的副本再扫描一次。照片还可能带有位置信息，可以参考照片 GPS 位置删除指南，也可以阅读什么是元数据，了解更全面的背景。
常见问题
如何查到照片真正的拍摄时间？
在元数据查看器中打开原始照片，查看“日期”分组中的“拍摄时间”。它由拍摄设备写入，所以经其他应用编辑或重新保存的副本可能已不再包含这一项。
为什么创建时间比修改时间还晚？
这通常说明文件被复制或下载过：副本在你的电脑上获得了新的创建时间，而修改时间仍保留着内容的时间。文件内部保存的时间更能反映它最初的时间。
文件的创建时间可以伪造吗？
可以。电脑记录的时间和文件内部保存的时间，都能用常见软件修改。把它们当作线索，在日期重要时与其他记录对照。
元数据查看器会上传我的文件吗？
不会。它在浏览器中读取文件，也不会修改文件。你也可以在扫描文件时，通过浏览器的“网络”面板自行确认。