檔案中繼資料常見誤解：時間、裝置與完整性不是單一結論
檔案中繼資料可回答的是「這個檔案目前帶有甚麼欄位」，不能單獨證明事件發生時間、裝置持有人就是作者，或內容從未修改。建立、修改、拍攝、匯出和下載時間可能來自不同時鐘；平台、雲端同步和轉檔亦會重寫欄位。正確做法是保存原檔和取得鏈，將每個欄位與裝置設定、檔案內容及其他獨立紀錄對照。
檔案中繼資料可回答的是「這個檔案目前帶有甚麼欄位」，不能單獨證明事件發生時間、裝置持有人就是作者，或內容從未修改。建立、修改、拍攝、匯出和下載時間可能來自不同時鐘；平台、雲端同步和轉檔亦會重寫欄位。正確做法是保存原檔和取得鏈，將每個欄位與裝置設定、檔案內容及其他獨立紀錄對照。
先說清正在看哪一層中繼資料
檔案系統可能顯示建立、修改和存取時間；相片可含拍攝、相機和位置欄位；文件有作者、軟件和修訂；電郵則有傳送路徑和伺服器時間。這些層由不同系統產生，不應合併成一句「檔案時間」。
檢查報告列工具、版本、時區顯示、原欄位名稱和讀取日期。檔名和資料夾名稱由使用者或系統產生，也可提供脈絡，但不應誤當內容內嵌資料。只截取檔案總覽的一行時間，容易遺失它屬於哪個層級。原值與分析分開，讓另一位人員可重新解讀。
- 檔案系統時間
- 內容格式內嵌欄位
- 平台、電郵或雲端紀錄
建立時間經常描述複製，不是創作
檔案下載到新電腦、從手機匯出、解壓縮或還原備份時，系統建立時間可能變成該次操作；修改時間又可能被保留。於是建立日期比修改日期更晚，未必是造假，而可能是正常複製路徑。
要解釋時間，先記檔案從哪裏來、經過哪些裝置和平台、由誰匯出。影片容器、影像軌和音軌還可能各有開始時間或時長資料，剪接和重新封裝後未必一致。若只有最終附件，便承認缺少早期鏈，不靠一個欄位反推完整歷史。工作副本的時間不可冒充原件時間。
時區與裝置時鐘可改變事件先後
相機可能用本地時間而沒有時區，伺服器使用協調世界時，通訊程式則按查看裝置顯示。旅行、夏令時間、手動設定和沒同步的時鐘，都可造成小時甚至日期差異。報告應保留原值，再另欄作有依據的換算。
精確到秒的欄位不代表時鐘精確到秒。可用已知事件、同場多個裝置、伺服器紀錄或拍攝序列估計偏差；沒有校對資料就標示未知。為令時間線整齊而靜默改時間，會掩蓋真正限制。
- 原始值和顯示時區並列
- 裝置有否自動同步
- 換算規則及估計誤差有紀錄
裝置名稱和作者欄不等於真人身份：
文件作者可能來自軟件預設、電腦帳戶或沿用模板；相機型號只說明某個編碼欄位；裝置可共用、借用或被遙距操作。看到一個人名不能直接證明他建立、修改或發送檔案。
身份要與登入紀錄、保管、通訊、工作流程和當事人說法對照。共用掃描器可能把部門帳戶寫成作者，手機相片亦可能經家庭共享圖庫由另一人匯出。反過來，作者欄空白或名稱不符也不自動證明偽造。中繼資料提供候選關係，真人歸屬需要獨立核實。
位置欄位既可能準確，也可能缺失或被帶入
相片 GPS 可能來自裝置定位、後加標籤或編輯匯出；室內、關閉權限和訊號差時可能沒有或偏移。平台常移除位置，欄位空白不能證明不在某地。有座標也要核對精度、日期和畫面環境。
截圖可能保留產生截圖裝置的資料，而不是被截影像的原始位置；由訊息儲存的相片亦可能改名和轉碼。某些格式內還有縮圖，縮圖與主畫面不一致可以成為處理線索，但亦需專業解讀。地圖顯示只是把數字視覺化，不能替代取得鏈和實景核對。
- 座標來源和精度
- 平台有否移除或改寫欄位
- 畫面環境與其他位置資料對照
雜湊值證明位元一致，不證明內容真實
對原件計算雜湊，可在交接或其後檢查檔案是否完全相同；任何位元改變通常會產生另一值。它適合管理版本和保全，但如果最初取得的檔案已被編輯，雜湊只會穩定識別那個已編輯版本。
報告記演算法、值、計算日期、檔名和保管位置。不要把不同平台轉碼後的檔案因雜湊不同便稱為內容造假，也不要因值相同便宣布拍攝事件真實。技術意義要寫在正確層面。
保完整流程要在第一次開啟前開始
能做到時，記錄取得裝置、來源路徑、操作者、日期和匯出方法，製作受控主副本，再在工作副本檢查。某些應用程式單純開啟也可能更新存取或預覽資料，因此先聽取數碼鑑證意見，尤其涉及訴訟、罪案或公司事故。
不要將原檔上載多個網上分析服務換取方便，因為可能外洩內容或改變控制。需使用第三方工具時，先評估資料敏感度、服務條款和輸出限制，保存操作紀錄。若資料仍在原裝置，關機、隔離或保持運作哪個選擇合適會因情況而異，不自行試驗；及早請鑑證人員指示。私家偵探與技術專家分工亦要寫明。
- 取得、保管和匯出人有記錄
- 主副本只讀受控保存
- 分析服務的資料披露先評估
兩份匯出檔的時間互相打架，先找共同事件校準
公司調查一批貨物何時受損，手機直接匯出的相片顯示下午二時八分，電郵內的 JPEG 副本卻顯示一時五十二分，門禁系統又記錄拍攝者二時三分才進入貨倉。若要判斷相片是否在盤點前已存在，三個時間不能靠排序多數決。先保留兩份檔案及各自取得途徑，再找畫面中的電子鐘、同一連拍序列、雲端上載審計或貨倉系統事件，建立一個各來源都可對照的時點。
調查重點不是裁定哪個欄位「最真」，而是現有材料能否支持相片在關鍵程序前已產生。若手機原檔的連拍次序與雲端紀錄吻合，而電郵副本證實曾被軟件重新輸出，可把後者標作派生版本；若原機不可取得，門禁伺服器亦曾延遲同步，結論便只能停在無法確定先後。公司可據此決定是否補訪談或檢查盤點控制，不應把技術上的未能確定直接寫成員工造假。
結論以「支持甚麼」和「不支持甚麼」成對表達
可寫「附件帶有某裝置型號和某時間欄位」，再說這與哪項時間線一致；同時注明欄位可被轉檔或設定影響，不能單獨確認作者與事件。電郵則要區分寄件者顯示名稱、回覆地址、傳送伺服器和附件本身資料，單看信箱畫面不足以重建傳送路徑。避免把「沒有發現修改軟件名稱」寫成從未編輯。
重大用途由數碼鑑證和律師按完整材料評估。報告保留原值、工具輸出、版本和限制，遮蓋無關位置或身份資料。可附一張時間欄位對照表，讓讀者看見哪個是裝置、伺服器、檔案系統或換算時間。新的原件或裝置設定出現時，正式更新分析，不覆蓋舊結論。
檔案中繼資料常見誤解相關閱讀
檔案中繼資料常見誤解常見問題
相片拍攝時間可否當作事件確實時間？：
只可作一項線索。要看裝置時鐘、時區、檔案是否原始、匯出路徑和其他獨立紀錄。欄位精確不等於時鐘準確，報告應列原始值、換算方法和可能誤差。
文件作者欄寫某人姓名，能否證明由他撰寫？
不能單獨證明。作者欄可能是預設帳戶、模板或共用裝置資料。需與登入、版本、通訊、保管和本人說法等其他來源配對。
雜湊值相同是否證明檔案沒有造假？
它只顯示兩次計算的檔案位元一致，不證明最初內容真實、取得合法或時間正確。雜湊是完整性管理工具，不是事件真偽結論。