图像文字防OCR识别：文字嵌套隐写的原理与实践

一、问题背景：为什么“图内文字”需要对抗自动识别

在日常业务中存在大量“以图片形式承载文字”的场景：个人证件、手写笔记、聊天记录截图、内部文档照片等。用户将文字转成图片，本意是利用“图片不便于直接复制与检索”的特性保护隐私或控制传播范围。但现代OCR能力已经非常成熟，批量、自动化的文字识别可以在极短时间内完成，“图片即隐私”的假设早已不再成立。因此，如何让图片中的文字不被自动化OCR流水线轻易读出、同时又不影响人类的正常阅读，成为一个兼具工程与对抗色彩的技术问题。

需要首先划清边界：这类技术的合理用途是隐私保护、原创内容防批量抓取、防止自动化滥用等；任何用于隐匿违法违规信息、规避内容安全审核的用法都不在本文讨论范围之内。

二、拆解OCR流程：找到可被干扰的环节

主流通用OCR服务（例如常见的云端文字识别接口）尽管底层模型各异，处理流程却高度趋同，大致分为四步：

1. 预处理：灰度化、二值化、去噪、倾斜矫正；
2. 文本检测：定位图中所有“疑似文字区域”，输出文本框；
3. 文本识别：对每个文本框内的内容做字符序列识别；
4. 后处理：语义纠错、版面还原、置信度过滤。

这里的关键结论是：这套流水线是“顺序执行、一次通过”的。文本检测阶段一旦认定某个区域“已经识别完毕”，后续环节就会以该结果为准，几乎不存在“换一种方式再看一遍这块区域”的二次尝试。

这正是可以利用的结构性弱点：与其让OCR“什么都识别不到”——那样往往反而触发更强力的图像增强与重试——不如让它“自信地识别出一堆错误但看起来合理的内容”，用识别结果本身挤占真实内容的位置。换言之，最好的隐藏方式不是消失，而是制造一个足够有说服力的“替身”。

三、核心方法：文字嵌套隐写

这个思路源自一个朴素观察：人眼识别文字靠的是整体轮廓与语义先验（格式塔原理），而机器识别靠的是局部笔画的统计特征。两者关注的尺度不同，就有可能在同一张图里构造出“人机分离”的双层文本。

3.1 模式一：大字藏小字

• 人眼看到：若干个醒目的大字（例如数百像素高），读的是大字内容；
• 机器看到：一整片密集排布的小字（例如12像素左右），大字笔画内部与边缘全部被小字填充。

由于小字以正常对比度、正常密度铺满画面，文本检测阶段会把整幅图判定为一个（或少数几个）大文本块，识别阶段读出的全部是小字内容。后处理拿到一版通顺的小字文本后，流程正常结束——大字从头到尾没有进入识别队列。

3.2 模式二：小字藏大字

反过来，如果目标OCR对小字特别敏感、检测粒度很细，就采用镜像策略：

• 人眼看到：正常排版的可读小字内容；
• 机器看到：叠加在背景上、面积巨大的大字轮廓（可配合低对比度处理），版面分析阶段优先锁定这些“最显眼”的大块区域，识别输出的是大字内容，反而漏掉或弱化了小字。

两种模式互为镜像：对全局检测能力强、粗粒度框图的OCR，用“大字藏小字”对付；对逐行细粒度检测、小字识别精确的OCR，用“小字藏大字”对付。由于各家OCR的处理流程基本固定，试错一两个回合，通常就能找到对该服务失效的构造组合。

3.3 填充策略：全局顺序 vs 逐字填充

最直接的实现是按“从上到下、从左到右”的全局顺序铺小字，但这会让人眼从密集小字流里辨认大字轮廓变得吃力。改进策略是按大字逐字填充：渲染时以每个大字为单位，在其笔画掩码范围内就近排布小字，使小字与大字笔画保持空间对应。人眼借助轮廓连续性可以较轻松地读出大字，而机器的识别结果不受影响——本质上是在“机器可读性”不变的前提下，优化了“人眼可读性”。

四、关键参数设计与调优

1. 字号比例：大字与小字的字号比建议从10:1到30:1起步（例如400px大字配12px小字）。比例过小，小字会破坏大字轮廓，人眼阅读受损；比例过大，小字过于稀疏，检测器可能将其当作离散噪声忽略，导致两层内容都不成立。
2. 行间距与字间距：初始值建议都取0～1像素。间距越小，小字在视觉与统计上越接近“连续纹理”，越容易被检测器整体框出；间距过大则会被切块，反而削弱干扰效果。若人眼可读性不足，应优先增大小字字号而不是间距。
3. 颜色与对比度：最稳妥的配置是大字与小字同色（如纯黑文字配白底），机器眼里整幅图就是一版小字文档。若希望强化人眼体验，可让大字略微加深、小字略微变浅，但需控制对比度差，避免检测器通过颜色聚类把两层文本分离。
4. 字体搭配：大字选笔画粗壮、结构闭合的字体，提供足够的“填充面积”；小字选笔画纤细的印刷字体，减少与大字轮廓的笔画粘连。
5. 填充语料：使用与真实内容语义无关、但本身通顺合法的文本作为填充内容，让识别结果“看起来像一篇正常文章”，最大化迷惑后处理阶段的置信度判断。

五、示意性实现

渲染的核心只有三步：生成大字笔画掩码、按掩码铺排小字、导出图像。以下为示意性伪代码，使用任意常见图像处理库均可等价实现：

# 示意性伪代码，展示核心渲染逻辑，非可运行程序
def render_nested_text(big_text, filler_text,
                       big_size=400, small_size=12,
                       line_gap=1, char_gap=1):
    canvas = create_canvas(width=W, height=H, background=WHITE)
    # 第一步：把大字渲染成二值笔画掩码
    big_mask = render_text_mask(big_text, font_size=big_size)
    # 第二步：把填充语料按小字号预排版成若干"行"
    filler_rows = layout_rows(filler_text, font_size=small_size,
                              line_gap=line_gap, char_gap=char_gap)
    # 第三步：逐行扫描掩码，在笔画覆盖的横向区间内绘制小字
    cursor = TextCursor(filler_rows)
    y = 0
    while y < canvas.height:
        for span in mask_spans(big_mask, row=y):   # 该行被大字笔画覆盖的区间
            canvas.draw_text(cursor.next_segment(span.width),
                             x=span.left, y=y, font_size=small_size)
        y += small_size + line_gap
    return canvas.export()

工程上还有两点值得注意：其一，导出时需控制压缩质量，过度的有损压缩会模糊小字笔画，造成“机器读不出小字、人眼看不出大字”的双输局面；其二，移动端截图与社交渠道转存往往伴随二次压缩与缩放，验证时必须覆盖“原图、截图、转存图”三类输入。

六、效果验证与迭代方法

建议采用多服务交叉验证法：选取多家通用OCR能力（例如百度智能云的文字识别等云端接口，以及端侧常见的识别组件）对同一张图分别测试，记录各自的检出文本。判定标准非常明确——识别结果等于填充内容而非真实内容，即为该服务上对抗成功；只要有一家读出了真实内容，就回调参数（通常是缩小字间距、加大字号比）后复测。

一个可参考的迭代节奏：

1. 固定小字参数，扫描大字字号（如200px→400px→600px）；
2. 固定字号比，扫描行距与字距（0px→1px→2px）；
3. 加入压缩与缩放扰动，复测结构稳定性；
4. “大字藏小字”与“小字藏大字”两种模式各跑一轮，保留对目标场景最稳健的一组参数。

七、局限性与攻防演进

必须清醒地认识到，这类方法的成立依赖三个前提，任一前提被打破即告失效：

1. 对方没有针对性模型。若服务方针对“嵌套文本”模式专门训练检测模型（例如学习“文本密度异常”“笔画尺度双峰分布”等特征），隐写结构会被直接识破。
2. 对方不引入人工研判。固定流水线不会对一张“看起来正常”的图主动做模糊、形态学膨胀等针对性预处理；但一旦有人类介入，人眼直接读大字即可，所有对抗手段瞬间失效。这也正是该类方法的边界所在：防机器，不防人。
3. 图像链路可控。极端的降采样、强压缩或超分辨率重建都可能抹掉小字层，破坏双层结构。

从防守方（OCR服务）视角看，加固方向同样清晰：在版面分析阶段引入文本密度与尺度分布的异常检测；采用多尺度滑窗识别，并对不同尺度的结果做一致性校验；对高密度文本区域增加二次细粒度识别。攻防双方的博弈，本质是“通用流水线的处理效率”与“对抗构造的精心程度”之间的成本权衡。

八、结语

文字嵌套隐写并没有使用任何“高深”的对抗样本算法，它只是精准利用了OCR流水线“一次通过、结果即终点”的结构特征，把识别结果本身变成了干扰源。对开发者而言，理解这条路径的价值是双向的：做内容保护时，可以据此评估自家图文内容面对自动化抓取的真实暴露面；做识别服务时，则应意识到通用流水线在刻意构造的输入面前，远比评测榜单上的分数脆弱。最后再次强调：相关技术仅应服务于隐私保护、防滥用等正当目的，具体应用前请务必评估所在法域的法律法规与平台规则。