图片文字防OCR识别：从传统扰动到文字隐写

一、先明确目标：防机器，不防人

在实际业务与个人场景中，“让图片里的文字不被OCR识别”是一个真实且常见的需求：外发聊天记录、票据、笔记截图时，希望防止图片被自动化工具批量抓取并结构化建库；创作者希望保护原创内容不被低成本爬取转载；普通用户也不希望随手分享的照片中的个人信息被批量提取。这里要先划清一条关键界线：目标是“机器读不出、人照样能读”。如果一种处理方式连人眼都难以辨认，那只是把图片毁了，并没有解决信息保护问题。同时必须强调：这类技术只能用于隐私保护、防自动化采集、版权提示等正当用途，不能用于制作、传播违法违规信息或规避平台内容安全审核，否则存在明确的法律风险。

二、理解OCR流程，才能找到薄弱点

主流OCR系统（包括各大云厂商的智能文字识别服务与常见开源引擎）的处理链路高度一致，大致分为四步：

1. 预处理：灰度化、二值化、去噪、倾斜校正，为后续环节提供“干净”输入；
2. 文本检测：在图像中定位文本区域，输出文本框；
3. 文本识别：对每个文本框内的内容做字符序列解码；
4. 后处理：合并、去重、按置信度过滤，输出最终文本。

这条流水线建立在几个隐含假设之上：

• 字号假设：训练数据以常规文档、自然场景招牌为主，字符高度集中在常见区间，对极端字号（例如单个“字”占半个屏幕）并不敏感；
• 结构假设：文本行规整、行距字距正常，小字就是小字、大字就是大字；
• 一次通过假设：检测并成功识别后，流程即认为“任务完成”，不会对同一区域做二次怀疑；
• 策略固定假设：预处理与检测策略对所有图片统一，不会为某张图自适应地“换个方式再看一遍”。

防OCR的设计空间，几乎全部来自对这些假设的针对性破坏。

三、传统手段为什么不够用

1. 模糊与马赛克：最直觉的方案，但它在防机器的同时也防了人，违背第一条目标。而且是否加模糊往往依赖人的判断——自动化流水线并不会主动对图片做高斯模糊，真加了反而会把正常图片一并变得不可读；而只要有人工参与判读，OCR本身也就失去意义了。
2. 噪声与水印：主流识别模型在训练阶段见过大量增广样本，对轻度噪声鲁棒性很强；干扰强度加大又会伤害人眼阅读。
3. 几何扭曲、透视形变：可以降低识别率，但人眼同样吃力，通常只适合验证码这类“人机都不以舒适阅读为目的”的场景。
4. 对抗扰动：基于梯度的对抗样本对特定模型有效，但在缩放、压缩、截屏、翻拍等真实链路下极其脆弱，跨模型迁移能力差，工程上不可靠。

结论是：传统手段很难同时满足“人可读、机不可读、对传输链路鲁棒”三个约束，需要换一条思路——不去“堵”OCR，而是去“喂”它。

四、文字隐写：用OCR自己认出的文字迷惑它

核心思想是一句话：让OCR“成功地”识别出一段诱饵文本，使其认为该位置已经完成检测，从而放弃对真正内容的二次挖掘。OCR流程是一次性、固定策略的，这种误导对它有效；而人眼具备跨尺度灵活切换的能力，先看整体再看细节，完全不受影响。依据诱饵与真实内容所处的尺度关系，有两种互补的实现方向。

方案A：大字藏小字

• 把希望人眼阅读的内容以超大字号排版（经验上取数百像素级，如300~400px），但大字的笔画不是实心色块，而是由海量小字号“诱饵文本”（如12px左右）逐字填充而成；
• OCR在小字粒度上做检测与识别，输出的是诱饵文本；大字结构远超检测模型的常规尺度，要么不产生有效检测框，要么识别为乱码；
• 人眼首先看到大字轮廓，需要细节时也能逐字阅读其中的小字，两个尺度都对人开放；
• 填充顺序建议按大字逐字填充，而不是全局从上到下、从左到右铺排，这样人眼追踪小字内容的跳跃成本更低，阅读体验更好。

方案B：小字藏大字

• 在画布上铺满高密度、高对比度的小字诱饵文本，行间距与字间距可压缩到0~1px，让相邻文本框互相挤压粘连；
• 真实内容以大字号、低对比度（浅灰）或负空间、笔画镂空的方式嵌入其中；
• 对小字检测特别精确、但全局结构分析较弱的识别引擎来说，密集的小字输出会“淹没”识别结果，大字结构反而被忽略；
• 该方案与小字藏大字方向相反、互为补充，适合已知对方对小字敏感的场景。

选择策略并不复杂：不同OCR的预处理与检测流程不同，对小字与大结构的敏感度也不同——对小字检测准的用方案B，对全局大结构检测强的用方案A。由于各家流程固定，试错成本很低，逐一验证即可，通常总有一种能让目标引擎“读不出来”。

示意性伪代码（方案A）：

输入: 大字文本 L, 诱饵文本库 D
画布 C ← 空白
for ch in L:                        # 逐个大字处理
    M ← 以大字号(如400px)渲染 ch, 得到字形掩膜
    S ← 提取 M 的笔画像素区域
    在 S 内按小字号(如12px)、字距行距0~1px
      逐行填入 D 中的诱饵文本
    将填充结果拼接到 C
输出: C

五、工程实践要点与验证方法

1. 参数设计：大字字号要显著跳出常规文档区间（数百像素级），小字取8~30px并尽量压缩间距；间距过大会让检测框彼此独立，小字反而被完整、清晰地读出。
2. 对比度分层：诱饵文本使用高对比度（接近纯黑或纯白），隐藏层使用低对比灰度，进一步拉大机器与人眼的感知差异。
3. 链路回归测试：平台压缩、截屏、手机翻拍都会损毁小字细节，务必以“最终传播链路”实际得到的图片质量做测试；若小字在压缩后糊掉，需要上调小字字号或改用加粗字重。
4. 多引擎验证：将成图分别送入不同类型的识别引擎——例如主流云厂商的通用文字识别接口（如以百度智能云为代表的云上文字识别服务）与常见开源OCR引擎——人工比对输出；同时邀请不同设备、不同视力条件的用户做可读性测试。
5. 建立测试矩阵：记录字号、间距、对比度、传输链路与识别结果的对应关系，形成小规模参数矩阵，按场景复用，避免每次从零试错。

六、局限、合规边界与防御视角

局限方面要有清醒认识：其一，这类方法有效的前提是当前没有针对该类隐写专门训练的识别模型；一旦防御方把“大字由小字拼成”的样本纳入训练与检测，方案即告失效。其二，图片压缩对方案本身也是威胁，参数需要随链路持续维护。其三，对抗是动态博弈，不存在一劳永逸的方案。

合规方面，技术中立不代表用途无边界。它可以服务于个人隐私保护、防止内容被自动化批量采集、版权来源提示等正当目标；但绝不能用于制作、传播违法违规信息或规避内容安全审核，这不仅涉及平台规则，更可能触及法律红线。不少公开分享过相关实现的人，最终正是出于这种顾虑撤下了可运行代码、只保留思路，这个态度值得借鉴。

从防御视角看，识别侧并非无解：可以引入多尺度检测与超大字号样本增广；对识别结果做覆盖率与乱码率分析，当文本框面积占比、字符置信度分布异常时触发复核；利用“小字拼成的大字在低频上呈现字形结构”这一特点做频域或笔画密度二级检测；对可疑图片保留人工审核通道。对攻防两端理解越深，方案设计才越稳妥。

七、小结

防OCR识别的本质，是利用自动化流程“策略固定、一次通过、尺度敏感”的固有假设，在“机器读到的内容”与“人看到的内容”之间制造尺度差。传统扰动手段难以兼顾人眼可读性；文字隐写通过“投喂诱饵文本”实现了对流程假设的精准打击，配合参数调优与多引擎验证，可以工程化地实现“人可读、机难读”的目标。同时也应始终记住：这只是攻防博弈中的一环，任何方案都有有效期，而合规与责任，是这项技术不可逾越的底座。