如何防止图片文字被OCR识别：对抗性排版实践

一、背景：为什么需要“防OCR识别”

近年来，通用文字识别（OCR）能力已通过标准化的云服务API大规模开放，以百度智能云为代表的云厂商把“上传一张图、返回全部文字”做成了几行代码即可调用的基础能力。技术门槛的坍塌在带来便利的同时，也放大了几类现实风险：

• 隐私泄露：聊天记录、评论截图在社交平台流转时，其中无关人员的昵称、头像、观点可能被自动化工具批量提取、存档，甚至用于用户画像；
• 内容盗爬：创作者的图文被爬虫批量识别、洗稿、二次分发，原创权益难以追溯；
• 信息外泄：企业内部截图一旦脱离受控环境，其中的敏感段落可能在当事人毫无感知的情况下被自动化收集归档。

传统对策是打码、涂抹、局部模糊。这些方法有效，但代价明显：一是破坏阅读体验；二是需要人工逐处标注“哪里该处理”。那么，是否存在一种方案——人眼可以正常阅读，自动化OCR却“看不懂”？这正是本文要展开的对抗性排版技术。

二、知己知彼：OCR流程的固有盲区

主流OCR遵循两阶段流水线：先由文本检测模型在整图上框出文字区域，再将每个区域裁剪送入文本识别模型解码出字符。为了兼顾速度与稳定性，工程实现上普遍依赖两个隐含假设：

1. 已完成区域不回访：检测器在某个区域给出高置信度结果后，该区域即被标记为“已处理”，流程线性推进，不会在同一位置反复扫描；
2. 版面是“平”的：文字与背景、大字与小字之间不存在刻意设计的嵌套关系，检测框之间近似互斥，非极大值抑制（NMS）可以直接裁决重叠候选。

这两个假设在自然图像上基本成立，但它们是工程取舍而非数学保证。一旦有人主动构造“文字套文字”的嵌套版面，贪心式的检测流程就会出现系统性盲区——这正是对抗性排版的切入点。

三、核心思路：堵不如疏，用“已识别”欺骗“未识别”

对抗OCR有两种哲学：

• 做减法（干扰）：叠加噪声、扭曲变形、局部模糊，把图像质量拉低到模型无法识别。代价是人眼同样受损；
• 做引导（疏导）：给模型一个“看起来已经完成”的答案，让它主动放弃继续探索。

第二种思路更优雅：把真正要传达给人类的文字缩小，排进一个巨大字符的笔画内部（或反向构造）。当检测器率先命中大字区域时，NMS会抑制掉与大字检测框高度重叠的小字候选框；识别阶段读出的是那个大字，整条流水线随即“圆满结束”，笔画里的小字被永久跳过。

对人类而言，视觉注意是分层且可控的：可以先感知整体结构（那个大字），也可以主动聚焦、逐一分辨笔画内的小字。换言之，这种误导对模型有效，对人类几乎无感——“防机器、不防人”不是副作用，而是设计目标。

四、两种实施方案与参数选择

根据目标OCR的强弱项，方案分为两类，需要按实际情况选用：

方案A：大字藏小字。小字填充在大字笔画内部，大字充当“诱饵”被优先检出。适用于对全局大目标敏感、对小目标检测偏弱的模型。参考参数：大字300~400像素、小字12像素、行间距1像素、字间距1像素。

方案B：小字藏大字。密集小字率先占据检测响应，大字被切碎后误判为背景纹理或装饰性图案。适用于对小字检测精确、但对版面结构缺乏二次推理的模型——部分移动端OCR应用即属此类。

参数调优要点：

1. 字号比：经验上大字与小字尺寸比保持在10:1以上。比值越大，检测器越倾向于把小字并入大字笔画而非视作独立文本行；
2. 间距控制：行间距、字间距应接近或小于小字字号（如0~1像素），让小字块在检测器视角下“融入”笔画。若希望版面更密实，可尝试大字400像素、小字30像素、行字间距均为0的组合，但需在识别抑制效果与人眼可读性之间权衡；
3. 对比度：小字与大字保持同色系、低对比，避免二值化或自适应阈值预处理把小字“增强”出来；
4. 填充顺序：小字流的排布建议采用“大字逐字填充”——读完当前大字笔画内的小字，再进入下一个大字，而非全局从上到下、从左到右。这一调整能显著降低人眼追踪小字的难度；
5. 试错迭代：每一家OCR的处理流程与参数是固定的，没有万能配置。正确做法是用目标模型实测，效果不佳就换方向、调比例——两种方案中总有一种更适配，见招拆招即可。

五、实现思路（示意性伪代码）

生成“大字藏小字”图片的核心流程可概括如下：

# 示意性伪代码，省略具体渲染细节
def render(big_text, small_text,
           big_size=400, small_size=12,
           line_gap=1, char_gap=1):
    canvas = new_canvas()
    stream = iter(small_text)
    for ch in big_text:                        # 大字逐字填充
        mask = rasterize(ch, big_size)         # 渲染大字，取得笔画掩膜
        lanes = split_lanes(mask, small_size + line_gap)
        for lane in lanes:                     # 掩膜内按行划分填充轨道
            x = lane.x_start
            while lane.has_room(x):
                draw(canvas, next(stream),
                     (x, lane.y), size=small_size)
                x += small_size + char_gap
    return canvas

实现门槛并不高，借助常见的大语言模型辅助即可产出完整代码，本文不再罗列全部实现。工程上有两个容易被忽视的细节：

• 导出质量：小字尺寸极小，对有损压缩高度敏感。很多平台的移动端上传链路会默认压缩图片，小字可能在压缩中被直接抹掉，务必走原图/高质量通道；
• 分辨率冗余：建议生成高分辨率源图。即便分发环节发生缩放，小字仍保留较多像素，肉眼可辨。

验证环节同样重要：上线前用多款OCR引擎与识别类工具实测，确认方案在目标链路上生效，而不是只在一套环境里自测通过。

六、与高斯模糊等传统手段的对比

“直接加高斯模糊不就行了？”——确实能防识别，但它有一个无法绕过的前提：需要人类先看出“哪里有字”，再对该局部施加模糊。一旦流程引入人的参与，人本身已能读懂内容，OCR是否失效已不重要；而若让机器不加区分地盲加模糊，一张正常的文章截图会被整张毁掉——什么都识别不出来，也什么都读不了。

高斯模糊这类手段的本质，是“通过降低所有人（包括人眼）的可用性来换取安全性”。对抗性排版的取向恰好相反：零人工干预、人眼无损、只对自动化流程生效。这是它在阅读体验敏感场景中的核心优势。

七、方法边界：什么情况下会失效

任何对抗性技巧都必须明确声明安全边界，避免被误当作“加密”使用：

1. 对抗训练：一旦出现针对这类“文字嵌套隐写”专门训练或数据清洗的模型，本方案将整体失效——这不是缺陷，而是对抗领域的常态，攻防始终动态演进；
2. 多尺度检测：采用多尺度滑窗、并对大区域做二次切分再检测的流程，有机会把笔画内的小字重新暴露出来；
3. 预处理增强：二值化、自适应阈值、超分辨率等前置步骤可能抬高小字对比度，使其重新进入检测视野；
4. 版面分析：基于连通域聚类或版面结构分析的后续模块，可能将“异常密集的小字块”标记出来送人工复核。

因此，正确的心智模型是：它是一种抬高自动化提取成本的工程手段，而非密码学意义上的保密方案。真正涉密的内容，最稳妥的处理依然是物理遮蔽——涂抹、裁剪或删除。

八、合规与伦理边界

这项技术的正当用途应严格限定于三类场景：一是隐私保护，降低公开截图中无关人员信息被批量收集的概率；二是防盗爬，提高图文内容被自动化抄录、洗稿的成本；三是溯源水印，把标识信息藏进版面，肉眼可辨但不易被脚本剥离。

它不应被用于规避内容审核或协助违规信息传播。同时也需清醒认识：任何“防识别”手段在持续的对抗研究中都可能被攻破，涉及个人信息与敏感数据的处理，请始终遵循所在平台规则与法律法规的要求。

九、小结

“防OCR识别”的最优解不是把图做烂，而是顺着OCR流水线的假设“送它一程”：用大字诱饵触发NMS抑制，让流程在错误的位置提前“圆满结束”。两种嵌套方向、字号比/间距/对比度/填充顺序等参数维度，共同构成了一个可试错、可调优的方案空间；其“防机器不防人”的特性，使它在阅读体验敏感的场景中显著优于打码与模糊。同时也要明确：它对抗的是当前的工程实现，而非永恒的算法能力——攻防会持续演进，工程实践中应将其定位为成本控制手段，而非安全边界本身。