对抗式排版：让OCR“看见却读不懂”的图文防护思路

一、问题的本质：OCR不是“看见文字”，而是“判断哪里还有文字”

讨论“如何避免图中文字被识别”，首先要理解自动光学字符识别（OCR）的流水线。典型的OCR处理流程大致包含：图像预处理（灰度化、二值化、去噪、倾斜校正）、文本区域检测（定位可能存在文字的外接框或多边形）、文本行切分、字符识别、后处理纠错。真正决定“能不能识别出来”的，往往不是识别模型本身，而是检测阶段是否把某个区域判定为文本区域。

这带来一个关键洞察：如果能让检测环节认为“这块区域我已经处理过了”，并且放弃对该区域的二次检测，那么即使人眼能清晰读出内容，自动流程也可能漏掉它。原文提出的核心思路正是如此——堵不如疏：不是把文字藏到看不见，而是故意让OCR识别出一部分文字，用这部分“被识别到的文字”去占据检测结果，使后续检测不再深入该区域。

需要强调的是，这类方法属于“对抗式排版”，它防范的是全自动批处理式OCR，而不是防范人类。凡是有人工介入、人工框选、人工复核的场景，这种方法基本无效——因为人眼一眼就能看出内容。因此它适用的场景应理解为：降低批量自动化采集、自动化归档、自动化信息抽取的成功率，而不是“绝对保密”。

二、两类基本版式：大字藏小字与小字藏大字

对抗式排版的核心是“字号反差”与“排版密度”的组合。根据目标OCR的能力侧重不同，可以选择两种互补的策略。

2.1 大字藏小字：用显眼的大字“占位”

做法是：在画面中放置字号很大的“干扰文字”，同时在同一区域以极小字号、极小行距和字距嵌入真正想保护的内容。由于大字号文字在检测阶段非常容易被定位，检测器会优先输出这些大文本框；如果后续流程以“已检测区域”为单位做剪枝，那么被大框覆盖的小字区域就可能被跳过。

原文给出的参数示例具有参考价值（注意这些是经验值，不是通用最优值）：

• 大字 300 像素，小字 12 像素，行间距 1 像素，字间距 1 像素；
• 大字 400 像素，小字 30 像素，行间距 0 像素，字间距 0 像素；
• 大字 200 像素，小字 12 像素，行间距 1 像素，字间距 1 像素。

可以看到规律：大字与小字的字号比通常在10倍以上，小字的行间距与字间距压到0～1像素，使小字在检测阶段更接近“纹理”而非“独立文本行”。字号比越大、间距越紧，小字越难被单独切分；但代价是人眼阅读也更吃力，需要在“可读”和“抗检测”之间取平衡。

2.2 小字藏大字：用密集小字“淹没”大字

反过来的策略是：用大量小字号文字铺满画面，把真正想保护的大字内容“嵌”在小字矩阵中。某些OCR对小字的检测非常敏感，会输出海量小文本框，后续流程可能因为区域过于密集而提前终止或降采样，从而漏掉大字内容。

这类版式更适合应对“对小字检测精确、但对全局语义理解较弱”的流程。实践中同样需要试错：不同OCR的预处理参数、最小文本尺寸阈值、最大检测框数量限制都不一样，同一种排版在不同流程上的效果可能完全相反。

2.3 为什么两种策略要“见招拆招”

原文的一个重要观点是：每家OCR的处理流程相对固定，但彼此差异很大。有的侧重全局检测能力，有的侧重小字精度；有的对密集区域做降采样，有的对超大框做合并。因此不存在“一种排版通杀”的方案。合理做法是准备两套版式，分别测试，选择对目标流程更有效的一种；如果条件允许，甚至可以在同一张图中组合使用，让不同检测分支都遇到“已处理”的假象。

三、参数调节：字号、间距与填充顺序

对抗式排版不是简单“把字变小”，而是一组可调参数的系统工程。主要调节维度包括：

1. 字号比：大字与小字的比例决定检测器优先锁定谁。比例过小，两者在检测阶段难以区分；比例过大，小字可能退化为噪点而被预处理滤除。
2. 行间距与字间距：压到0～1像素可以显著增加小字被切分的难度，但也可能触发某些流程的“粘连字符”处理逻辑。建议以1像素为起点上下微调。
3. 填充顺序：原文提到一次重要修正——把藏字逻辑从“全局由上至下、由左至右”改为“大字逐字填充的顺序”。这个改动看似细节，实则影响很大：逐字填充让每个小字块与大字的对应关系更局部化，人眼阅读时不需要在整幅图中做长距离跳转，降低了人眼识别的难度，同时不削弱对自动检测的干扰。
4. 画布尺寸与压缩：移动端上传往往伴随有损压缩，高频细节（极小的字）最容易在压缩中丢失。原文也提示手机端图片可能被压缩，建议在电脑端获取原图进行验证；如果只能在移动端测试，可尝试竖版大图以保留更多细节。

一个实践建议是：把参数做成可配置项，用脚本批量生成不同参数组合的样本图，再分别送入目标OCR流程测试命中率。这样比手工试错效率高得多。

四、验证方法：怎么判断“成功”了

对抗式排版必须有明确的验证标准，否则很容易自欺欺人。原文给出了很具体的判定逻辑，值得借鉴：

• 对于“大字藏小字”样本，判定成功的标准是：OCR没有输出被藏起来的那段内容（例如某段经典文本的标题），而只输出了大字干扰内容；
• 对于“小字藏大字”样本，判定成功的标准是：OCR没有输出被藏起来的那段小字内容（例如某类广告文案），而只输出了大字内容。

也就是说，验证时要“双向确认”：既要确认干扰文字被识别（说明检测确实发生了），又要确认目标文字没有被识别（说明剪枝确实生效）。只满足前者可能只是图片质量太差，只满足后者可能只是检测完全失败，都不能证明策略有效。

验证时还应注意：

• 使用原图而非截图再截图，避免二次压缩引入伪影；
• 对同一版式至少测试2～3种不同来源的OCR流程，避免针对单一流程过拟合；
• 记录每次测试的参数与结果，形成可复现的实验记录。

五、边界与失效条件：这不是“万能药”

必须明确这类方法的局限，否则容易产生不切实际的预期。

第一，它不防人类。 方法的设计初衷就是“防自动识别而不防人”。任何有人工复核、人工框选、人工录入的环节，内容都会被读出。加高斯模糊之类的后处理手段同样依赖人类先判断“这里有大字”，模型不会主动做这种判断；而一旦有人类参与，直接人工解读即可，OCR反而多余。

第二，它依赖“检测器会剪枝”这一假设。 如果目标流程对每个候选区域都做独立识别、不做区域级去重，或者采用基于分割的端到端模型（直接输出字符序列而不显式输出检测框），那么“用已识别文字占位”的思路就可能失效。

第三，它害怕针对性训练。 原文特别注明：成功的前提是当前没有针对这种“隐写式排版”专门训练的模型。一旦有团队用类似样本做数据增强训练检测器，这类版式的漏检率会迅速下降。因此它更适合作为“提高自动化采集成本”的手段，而不是长期可靠的安全机制。

第四，合规风险。 原文提到有人建议删除可执行代码，理由是可能被用于不当用途。这个提醒是合理的：对抗式排版技术本身是中性的，但若被用于规避内容审核、伪造凭证、隐藏违规信息，则可能带来法律与合规风险。技术文章应聚焦原理与防御视角，例如用于测试自家OCR流程的鲁棒性、评估检测环节的漏检风险，而不是提供可直接滥用的成品工具。

六、工程实践建议：把它当作“鲁棒性测试用例生成器”

从工程角度看，比“怎么藏字”更有价值的问题是：我的OCR流程在遇到这类对抗版式时会不会漏检？ 因此建议把上述思路转化为测试用例生成能力：

• 用脚本按参数矩阵（字号比、间距、填充顺序、画布尺寸）批量生成对抗样本；
• 将这些样本纳入OCR流程的回归测试集，观察检测召回率的变化；
• 针对漏检样本分析原因：是预处理把小字滤掉了，还是检测框合并导致区域被跳过，还是后处理把结果纠错掉了；
• 根据分析结果加固流程，例如对密集小字区域做多尺度检测、对超大文本框覆盖区域做二次抽样、对低置信度区域保留候选而不直接剪枝。

这样，对抗式排版就从“技巧”变成了“度量工具”：它帮你发现流程中的盲区，而不是教你怎么绕过别人的系统。

七、小结

对抗式排版的核心思想可以概括为一句话：让自动检测流程误以为某个区域已经被处理过，从而放弃对该区域的二次检测。 它通过大字藏小字、小字藏大字两类版式，配合字号比、间距、填充顺序等参数调节，在“人眼可读”和“自动检测漏检”之间寻找平衡点。它不防人类、依赖检测剪枝假设、害怕针对性训练，并存在合规边界。务实的用法是把它作为OCR鲁棒性测试的样本生成手段，用可复现的实验去度量并加固自己的检测流程——这才是这类技术在中立视角下最有价值的落点。