简介：围绕“如何让图片中的文字对人眼可读、对OCR模型难识别”这一需求，本文从视觉感知差异与特征空间扰动两个层面拆解技术思路。文章会说明光栅相位错位、轮廓知觉补全、对抗扰动迁移等关键机制，并给出基于常见图像处理能力的实现路径，适合关注验证码安全、内容保护与视觉对抗样本的开发者阅读。
在很多内容安全、验证码设计或敏感信息展示场景中，一个常见需求是：图片中的文字应当能够被正常用户识别，但要尽量避免被自动化OCR系统批量提取。这个需求看起来简单，实际隐含了一个重要前提——人类视觉系统与机器视觉系统对同一张图片的理解方式存在明显差异。
传统OCR流程通常包括图像预处理、文字区域检测、二值化、字符切分与识别等步骤。很多早期防护方案会把重点放在“给文字加噪点、加干扰线、旋转字符、扭曲形状”等方式上，希望提升机器识别的难度。但随着深度学习方法的发展，基于卷积神经网络和视觉编码器的OCR模型已经具备较强的抗噪与形变适应能力。单纯增加随机噪声或轻微几何变换，往往不足以阻止模型提取文字语义。
更有效的思路，不是“让文字变得完全不可见”，而是制造一种“人机感知不一致”：保留人类可感知的结构线索，同时削弱或污染机器学习模型依赖的特征表示。换句话说，目标是让图像在人眼与模型之间产生感知鸿沟。
从工程角度看，这种感知鸿沟可以从两个层面构造。
人类视觉系统具有一定程度的知觉组织能力。即使物体的物理边缘并不连续，只要局部特征之间存在方向、颜色、空间频率等方面的规律关系，人脑仍然可能自动补全出整体轮廓。例如，在若干条断裂但方向一致的线段中，人眼能够感知到一个连续图形。
这个特性给图像设计留下了空间：可以将文字的真实边缘隐藏在一组局部不连续、但整体有规律的条纹变化中。人类可以借助轮廓补全机制识别出字符；而对于机器学习模型来说，它更依赖像素邻域中的稳定梯度和连续边界。当字符边缘被拆散为细微的相位差异时，模型可能难以恢复原始形状。
另一个切入点是特征空间。当前多模态模型或OCR模型通常先通过视觉编码器将图像映射为高维特征，再基于该特征完成文字识别或文本生成。如果图像扰动能够改变编码器输出的主导特征方向，就可能让模型“看到”不同的语义内容。
这种做法的本质不是破坏图像质量，而是制造一种特征对抗：在像素层面变化很小，但在特征空间中形成明显偏移。对白盒模型可以直接利用梯度信息调整扰动；对黑盒模型，则可以通过多个视觉语言模型作为代理，让扰动具有更强的迁移性。
在具体实现上，可以优先考虑一种比较稳定的方案：基于彩色光栅的相位错位设计。它的核心思想是，让文字区域与背景区域使用颜色分布相近、但光栅相位相反的模式进行填充。这样从整体颜色统计上看，文字区域并不突出；但字符边界处会出现明显的相位不连续，从而为人类视觉提供轮廓线索。
首先需要获得文字的二值掩码。对于白底黑字或对比度较高的文字图片，可以先进行灰度化，再使用阈值分割方法自动分离前景与背景。若图片背景较复杂，可先做局部对比度增强或形态学处理，降低噪声对掩码质量的影响。
掩码的作用不是生成字符本身的像素，而是决定哪些区域使用正相光栅、哪些区域使用反相光栅。因此掩码边缘越接近真实文字轮廓，最终人眼可感知的字符形状就越清晰。
可以构造一组周期性的彩色光栅。例如，使用正弦函数生成亮度或颜色通道的周期性变化。基础形式可以表示为：
import numpy as npdef grating(h, w, freq, phase, angle=0):y, x = np.ogrid[:h, :w]# 根据方向计算投影坐标coord = x * np.cos(angle) + y * np.sin(angle)return 0.5 + 0.5 * np.sin(2 * np.pi * freq * coord + phase)
这里 freq 控制条纹密度，phase 控制相位偏移。对于文字区域与背景区域，可以采用相同的频率和方向，但相位相差半个周期，即 phase 相差 np.pi。
得到文字掩码后，对字符内部的光栅进行相位反转。具体做法是：先生成背景光栅，再生成前景光栅，前景光栅与背景光栅在颜色分布上尽量接近，但相位相反。然后利用掩码将前景光栅粘贴到文字区域。
background = grating(h, w, freq, 0)foreground = grating(h, w, freq, np.pi)mask = text_mask.astype(float)result = background * (1 - mask) + foreground * mask
这样处理后，文字区域与背景在整体颜色统计上差异较小。模型如果只依赖局部颜色或亮度分布，可能无法有效区分前景与背景。但人类观察者可以在字符边界处看到条纹的明显错位，从而识别出文字轮廓。
为了增加复杂度，可以将不同方向、不同频率或不同相位的光栅分别编码到不同颜色通道中。例如，在R通道使用水平光栅，在G通道使用垂直光栅，在B通道使用斜向光栅。这样合成后的彩色图像在不同通道上携带不同结构信息，能够进一步增加模型统一建模难度。
同时，还可以在字符边缘附近加入轻微的低频随机位移场，使光栅线条产生自然的局部扭曲。这种形变对人类视觉影响较小，但会破坏模型对规则纹理的统计假设。
光栅相位错位主要影响的是图像底层纹理与边缘表示。若需要更强的防护能力，可以在保持图片视觉观感的前提下，叠加对抗扰动，使模型提取到的特征偏向错误语义。
对抗扰动的设计可以分两种情形考虑：
如果可以访问目标模型的参数，可以直接计算图像相对于目标文本生成概率的梯度，并沿梯度方向更新扰动。其目标是让模型在解码阶段更倾向于输出攻击者指定的文本，而不是图片中实际显示的文字。
这种方法的攻击性较强，但依赖模型内部信息。在真实业务场景中，目标OCR服务通常是黑盒的，因此白盒方案主要用于研究或内部验证。
在黑盒条件下，可以使用多个公开可用的视觉语言模型作为代理。将图像输入代理模型得到视觉特征，同时将目标错误文本输入文本编码器得到文本特征，然后优化图像扰动，使两者相似度不断提升。
这种做法并不直接依赖目标模型的梯度，而是希望通过代理模型学习到一种可迁移的扰动模式。当目标模型与代理模型在训练数据或模型结构上存在一定相似性时，扰动有可能同样影响目标模型的特征表示。
这类方案在工程落地时，需要平衡几个因素：可读性、防护强度、图片质量和计算开销。
如果光栅频率过高、形变过大或颜色分布过于复杂，虽然模型更难识别，但普通用户也可能无法辨认文字。因此需要根据实际场景调节条纹密度和相位差异强度。一般建议先保证人眼在正常阅读距离下可以识别文字，再逐步增加对抗强度。
很多OCR系统在识别前会进行灰度化、二值化、去噪、缩放等操作。光栅相位信息可能在这些处理过程中被削弱。因此，设计时可以考虑让关键轮廓线索不只存在于颜色通道中，也可以通过亮度或边缘方向信息保留。
模型通常会以多种尺寸扫描图像或提取特征金字塔。单一频率的光栅可能在某一个尺度下有效，但换一个尺度就可能失效。为此，可以在不同区域使用不同频率的光栅，或在多个颜色通道中编码不同尺度信息，以提升整体鲁棒性。
生成彩色光栅和对抗扰动都属于像素级操作，计算量通常可控。若图片数量较多，可考虑使用向量化运算或GPU加速，避免逐像素循环造成性能瓶颈。同时，如果结合云端的对象存储、批量图像处理或异步任务队列，可以更方便地将处理流程集成到业务系统中。
该思路主要适用于需要阻止自动化文字提取、但允许人工阅读的场景。常见应用包括验证码生成、敏感信息截图保护、公开页面中的联系方式防爬取等。在这些场景中，核心目标不是完全消灭OCR能力，而是提高自动化批量提取的成本。
也需要认识到，这类方法并不存在绝对安全。若模型针对特定防护方式进行了专项训练，或者输入图片经过多次转发、压缩、缩放，防护效果可能下降。因此更适合作为综合内容安全策略中的一层，而不是唯一防线。
让图片文字对人眼可读、对OCR模型难识别，其关键在于利用人机视觉感知差异。彩色光栅相位错位方案通过保留人类轮廓补全所需的局部规律，同时削弱模型依赖的稳定边缘和区域统计特征，构建了一种较为直观的人机感知鸿沟。进一步叠加对抗扰动，则可以从特征空间层面增加模型理解偏差。
在实际实现中，可以先提取文字掩码，再生成周期性彩色光栅，对文字区域执行相位反转，并可结合多通道光栅与局部形变增强鲁棒性。对于更高强度的黑盒防护需求，可以引入基于代理模型的特征相似度优化，使扰动具有更好的迁移性。最终方案应结合业务场景反复调试，在可读性与防护强度之间找到合适平衡。