简介：当图片中的文字需要“对人可见、对机器不可靠”时，常规的打码与模糊并非唯一选择。本文从OCR检测流程出发，讲解“大字藏小字”与“小字藏大字”两种对抗性排版思路：利用OCR先检测后识别的管线特性，用一层可被识别的文字“占位”目标区域，从而干扰二次检测。文中给出可复现的参数组合、实现要点与典型失败场景，并强调该方法仅适用于防自动化流水线，不适用于对抗人工审阅，也不保证对所有OCR引擎长期有效。
在内容安全、版权保护、内部审阅等场景中，经常会出现一种需求：图片中的文字需要被人看见，但不希望被自动化OCR流水线稳定提取。常见的做法是加马赛克、强高斯模糊、局部遮盖，但这些手段有一个共同缺陷——它们同时破坏了人类可读性。一旦有人工介入，模糊反而成了障碍：人看不清，机器也看不清，最后还得靠人肉辨认，OCR也就失去了意义。
本文讨论另一条思路：不破坏可读性，而是破坏OCR的检测管线。核心思想可以用一句话概括——想让OCR识别不出目标文字，最好的办法是让它先“识别出”一段别的文字，用这段文字占住目标区域，使流水线认为该位置已经处理完毕，从而放弃对目标区域的二次检测。
需要事先声明：这种方法针对的是固定流程的自动化OCR管线，而非人类读者；它依赖OCR“先检测文本框、再逐个识别”的工程实现，属于一种对抗性排版技巧，而不是密码学意义上的安全手段。如果对方针对这类隐写术专门训练了检测模型，或者改用端到端、无检测阶段的识别方案，该方法很可能失效。因此它适合作为“提高自动化成本”的临时手段，不适合作为长期可靠的安全边界。
主流OCR系统大体分为两个阶段：
关键缝隙在于：检测阶段通常只关心“这里有没有文字”，而不关心“这段文字是什么”。识别阶段则只处理检测阶段给出的框。于是产生了一个可利用的空间：如果在目标文字所在的区域，先放置一段字号更大、更容易被检测到的文字，检测器会优先输出大字的框；识别器把大字识别出来后，流程往往认为该区域已经“消费”完毕，不再对小字做细粒度检测。对人类而言，大字是前景、小字是背景，人眼可以主动切换注意力去读小字；对机器而言，注意力是由检测器分配的，它没有“主动切换”的能力。
这解释了为什么该方法对人无效、对机器有效：人类阅读是自上而下、由任务驱动的；OCR是自下而上、由检测结果驱动的。
根据目标文字与掩护文字的相对大小，分为两种形态，适用场景不同。
掩护文字字号大（数百像素），目标文字字号小（十余像素），两者在同一区域叠加。检测器先命中大字，识别器输出大字内容，目标小字被“跳过”。
适用场景：OCR对小字检测较精确、但对全局布局敏感度一般时，用大字抢占检测预算。原始实践中给出的参数组合示例如下（单位为像素）：
大字 400，小字 12，行间距 1，字间距 1大字 200，小字 12，行间距 1，字间距 1大字 300，小字 12，行间距 1，字间距 1
设计要点是：大字要足够大，确保在任何缩放、压缩后仍能被稳定检出；小字要足够小，使其在检测器的多尺度扫描中被大字的响应压制。行间距与字间距取极小值（0～1 像素），目的是让小字在视觉上聚成“纹理”而非“文本行”，进一步降低被单独检出的概率。
反过来，掩护文字字号小、目标文字字号大。检测器先命中成片的小字纹理，识别出的内容是一段无关文本，大字的区域被这段纹理“覆盖”，二次检测被抑制。
适用场景：当OCR对小字检测非常精确、容易把密集小字全部框出时，用小字去“淹没”大字。原始实践中给出的参数组合为：
大字 400，小字 30，行间距 0，字间距 0
这里小字被放大到 30 像素并紧排，形成高密度的文本块，检测器会把整块区域当作一个或数个文本行输出；大字 400 像素虽然醒目，但在检测阶段被小字块的强响应挤占。
两种形态是互补的，实践中建议都试一遍。判断标准不是“人眼能不能看出目标文字”（人眼当然能），而是“OCR输出里有没有目标文字”。一般规律：
每家OCR的处理流程、缩放策略、检测阈值都不同，参数没有普适解，只能试错调整。这也是该方法“灵活”的价值所在：字号、间距、颜色、透明度都是可调维度。
先绘制目标文字（小字或大字），再在上层绘制掩护文字。两层文字建议使用对比明显但不过分刺眼的配色，避免因对比度太低导致掩护文字本身也检不出来——那样就失去了“占位”的意义。
调参顺序建议为：先定掩护文字字号 → 再定目标文字字号 → 最后微调间距。掩护文字字号决定了检测器首先看到什么，是整条管线能否被“带偏”的关键；目标文字字号决定人眼可读性下限；间距影响纹理密度，通常取 0～1 像素即可。
尽量提供原图而非经过平台压缩的版本。移动端图片经常被重编码压缩，小字容易被压糊，导致人眼也读不清；桌面端或原图下载链路能保留像素细节。上传前可先本地验证：把图片放大到 100%，确认目标文字在无缩放情况下可读。
验证时要注意“检测出什么才算成功”。原始实践中特别强调：大字藏小字的例子，必须检测出的是目标小字内容才算成功；小字藏大字的例子，必须检测出的是目标大字内容才算成功。如果OCR只输出了掩护文字，那说明占位生效，但这只是“半成功”——真正的成功标准是目标文字未被输出、且人眼仍可读。
误区一：加高斯模糊也能防OCR。 确实能，但前提是有人类先看出“这里有字”，再决定加模糊。模型自己不会主动加模糊；如果模型真的无差别地对全图加模糊，那正常文章的截图也会被模糊掉，OCR整体失效，这显然不是使用方想要的。更关键的是，一旦需要人类介入判断“哪里该模糊”，人类已经直接读出来了，OCR就多余了。
误区二：这是安全手段。 不是。它只提高自动化提取的成本，不提供任何保密性。任何愿意逐张人工审阅的人都能读到目标文字；任何有针对性地做对抗训练或改用餐端到端识别的系统都可能绕开它。
边界条件： 该方法成立的前提是“当前没有针对这类隐写术专门训练的模型”。一旦检测模型加入了纹理抑制、多尺度融合或对抗样本鲁棒性训练，两种形态都可能失效。因此它应被视为一种时效性技巧，而非稳定方案。
对抗OCR的文字隐写术，本质是利用“检测—识别”两阶段管线中检测阶段的注意力分配机制：用一段容易被检出的文字抢占目标区域，让目标文字在二次检测中被跳过。大字藏小字与小字藏大字是两种互补形态，参数（字号、间距）需按目标OCR的实际行为试错调整。它对人无效、对机器有效，适合作为提高自动化成本的临时手段，但不应被当作安全边界，也需随OCR能力演进持续评估其有效性。