让图中文字不被OCR识别：技术原理与实践

一、先划红线：防OCR的正当场景与不可触碰的边界

把信息做成图片再分享，是很多人习以为常的操作，由此也衍生出“让图中文字不被机器识别”的需求。需要强调的是，这类需求应当限定在正当场景内：

• 隐私保护：分享截图时，不希望其中的手机号、证件号、住址等敏感字段被批量采集；
• 防爬取与防搬运：原创内容发布者希望提高机器批量盗取文字内容的成本；
• 文档安全：企业内部资料在流转过程中降低被自动提取的风险。

与此同时必须指出红线：如果目的是绕过平台内容审核、发布平台明令禁止的信息（例如在禁止站外引流的场景下传播联系方式），这不仅违反平台规则，情节严重的还可能违反相关法律法规；而且从技术上看也并不可靠——成熟的内容风控体系通常是“机器识别+人工审核+行为分析”的多层结构，让OCR失效只是其中一环。本文的全部技术讨论，定位都是隐私保护与信息防泄露，而非“审核绕过指南”。

二、理解OCR管线：知道它怎么工作，才知道它会在哪里失灵

无论是本地识别引擎，还是以百度智能云文字识别为代表的云端服务，主流OCR系统的处理流程大同小异，可以拆成四个阶段：

1. 预处理：灰度化、二值化、去噪、倾斜校正、分辨率归一化，把图片整理成“黑白分明、文字端正”的标准形态；
2. 文本检测：定位图中所有文字区域并输出包围框。传统方法依赖连通域分析和形态学特征，现代方法以深度学习检测网络为主，对复杂背景、多方向文本的适应性明显更强；
3. 文本识别：将文字区域裁剪后送入序列识别模型（特征提取+序列建模+解码）输出字符序列，随后常通过语言模型或词典纠错，例如把孤立的”0”修正为”o”；
4. 后处理与结构化：置信度过滤、版面分析、表格还原、字段抽取等。

由此可以得到一个关键结论：防OCR不需要让每个环节同时失效，只要让其中任意一环的代价高到不可接受即可。可以让检测阶段找不到文字框，可以让识别阶段输出大量错字，也可以让后处理还原不出有意义的信息——后面的各类方法，本质上都是在攻击不同的环节。

三、决定识别率的图像因素：所有手段的作用点

结合OCR的工作原理，以下因素对识别率影响最大，也正是防OCR手段的发力点：

• 文字像素高度：小字号叠加低分辨率，识别率会断崖式下降；
• 前景背景对比度：亮度差越小，二值化越困难；
• 背景复杂度：纹理、渐变、照片式背景会显著干扰检测；
• 排列方式：倾斜、弯曲、竖排、多列混排、异常字距都会破坏模型假设；
• 压缩损伤：反复截图、转存带来的块效应会侵蚀笔画细节。

四、四类主流防OCR思路与示意实现

4.1 质量退化类：让机器“看不清”

最直接的思路是整体拉低图像质量：叠加高斯噪声或椒盐噪声、施加轻度模糊、压低对比度、先缩小再放大等。人眼有很强的容错能力，轻中度退化后依然可读；而OCR对笔画断裂、粘连极其敏感。

# 伪代码：基础退化处理
img = load("screenshot.png")
img = resize(img, scale=0.5)              # 降低有效分辨率
img = add_gaussian_noise(img, sigma=6)    # 叠加噪声
img = gaussian_blur(img, radius=0.8)      # 轻度模糊
img = reduce_contrast(img, factor=0.75)   # 压低对比度
save(img, "protected.png")

局限：退化强度需要反复权衡，过度退化人眼也无法阅读；对后续的缩放、锐化等操作鲁棒性差；新一代识别模型的抗噪能力已大幅提升，单独使用效果有限。

4.2 结构干扰类：让机器“认不出”

保持人眼可读，同时破坏机器赖以工作的结构特征：

• 字符级：对每个字符做轻微旋转、随机缩放、基线上下抖动；用形近字替换部分字符（如”0”与”O”、”1”与”l”）；在笔画上添加细小装饰；
• 区域级：施加波浪形变、让文字沿曲线排布、改竖排、允许字符适度重叠；
• 背景级：叠加与文字颜色接近的低对比花纹、干扰线或色块。

这类方法利用的是人眼与机器的感知差异：人靠整体轮廓和语境识字，机器依赖精确的笔画结构与稳定基线。

局限：牺牲排版美观；干扰元素过强反而可能让文字区域更容易被检测定位，等于“自我暴露”。

4.3 对抗扰动类：让模型“看错”

对抗样本是学术界研究多年的方向：在图像上叠加一层人眼几乎不可察觉的扰动，使识别模型输出错误结果。白盒场景下可按模型梯度迭代生成扰动；黑盒场景下只能依赖可迁移的近似扰动。

# 伪代码：对抗扰动生成（示意）
img = load("card.png")
pert = zeros_like(img)
for step in range(N):
    grad = estimate_gradient(surrogate_model, img + pert)
    pert = clip(pert + alpha * sign(grad), -eps, eps)
save(clip(img + pert, 0, 255), "adv.png")

局限：效果高度依赖具体模型，换一个识别引擎可能完全失效；对缩放、压缩、截屏等常见传播操作极其脆弱；黑盒条件下命中率不稳定。因此它更适合作为研究议题，而非工程上可依赖的常规手段。

4.4 编码替代类：干脆不渲染文字

前三类是“让文字难以被读出”，第四类换了个思路：图中根本没有文字，自然无所谓OCR。

• 码本编码：双方约定一本公开出版物作为“密码本”，把每个字符映射为“页码-行号-序号”三元组。传输的只是一串看似无意义的数字组，接收方查表还原。这是经典的离线编码思路，只要码本版本一致即可通用，全程不依赖任何在线服务；
• 特征稀释：把目标信息拆散嵌入一段正常文本中，例如让数字出现在一首古诗每行的固定位置。基于正则匹配的检测逻辑提取不到连续的号码模式，而知道规则的人按位置读取即可。需要强调：这类手法若用于绕过平台审核同样属于违规，此处仅作为“模式匹配型检测存在盲区”的案例来分析；
• 图形编码：将信息编码为二维码类图形或自定义符号系统，机器读到的是图形而非文字；
• 隐写术：把信息写入图像的最低有效位、频域系数或调色板，肉眼与OCR都完全无感。

# 伪代码：码本编码（示意）
codebook = build_index("公开出版物")            # 建立 页-行-字 索引
msg = "需要传递的内容"
encoded = [codebook.lookup(ch) for ch in msg]   # 每个字 -> (页, 行, 序号)
render_numbers_as_image(encoded)                # 图中只有数字组，不含原文

局限：交互成本高，接收方需要查表或借助双方约定的工具；信息一旦脱离约定场景就不可读，维护成本高；同样必须服从合规约束。

五、效果评估：怎么验证“防住了”

• 多引擎交叉验证：同一张图分别送入多个不同的识别通道测试——本地通用引擎、主流云服务，以及具备图像理解能力的多模态大模型，而不是只测一个；
• 重视多模态模型这个新变量：如今的图像理解模型可以“看图说话”，即使逐字识别失败，模型也可能结合上下文把内容复述出来，这是传统扰动方法面临的最大挑战；
• 模拟真实传播链路：截图、缩放、压缩、转发之后再测，很多脆弱手段会在这一步失效；
• 人眼复核：别忘了平台还有人工审核，“机器读不出”不等于“人看不出”。

六、实践建议清单

1. 优先“少暴露”：能不发图就不发图，能脱敏先脱敏，这是成本最低、最稳妥的方案；
2. 一般隐私保护：采用“质量退化+结构干扰”的组合，实现简单、通用性好；
3. 高安全要求场景：考虑编码替代或隐写，但要评估交互成本与可维护性；
4. 上线前测试：多引擎交叉验证+传播链路模拟双管齐下；
5. 合规先行：任何方案落地前，先确认应用场景不违反平台规则与法律法规。

七、结语

防OCR本质上是一场围绕“人眼与机器感知差异”的博弈：质量退化攻击预处理，结构干扰攻击检测与识别，对抗扰动攻击模型本身，编码替代则直接跳出博弈另起炉灶。但技术从来不是孤立的，方法的正当性取决于使用场景。把它用在保护个人隐私、提高内容盗取成本上，是合理的工程实践；把它用在规避监管上，则既不可靠，也不可取。理解原理、守住边界，才是面对这类需求的正确姿势。