背景

U盘禁了、打印加水印了、邮件也拦了，但最近接到一个客户的真实案例：员工掏出手机对着屏幕一拍，把几十页机密方案全拍走了。你不能收员工的手机，但必须让他拍不成、拍了也能追到。

我们在迪康端点安全一体化管理系统里把这件事做成了三层水印 + 一套主动检测机制。这篇文章把技术方案、产品实测截图和踩坑点一次讲清楚。

一、水印层：拍了能追到本人

1. 浮动文字水印

整个屏幕半透明浮动着员工工号、姓名、IP、时间，每隔几秒换位置。员工正常办公几乎无感，但只要用手机拍下来，照片里这些水印清清楚楚。

实际部署里透明度一般调到 8%–15%：太浅拍出来看不见，太亮员工看一天眼睛累。

2. 点阵水印（防翻拍）

文字水印可以被后期修图抹掉，点阵水印不行——肉眼几乎看不见的隐藏点阵嵌在画面里，照片放大后专用工具能还原出人员信息。研发核心代码、财务报表这类高敏岗位开这个。

3. 场景化叠加

不是所有屏幕都要全程带水印，那样体验太差。按"敏感文档打开自动加、关掉自动消失"触发，或者按岗位/涉密区域开，平衡安全和体验。

二、主动检测：抬手就被发现，当场锁屏留证

水印解决的是"事后追"，这一层直接把拍照行为在发生时摁住。迪康端点安全一体化管理系统的"防拍照"功能做了三件事：

1. 实时识别拍照场景

终端调用摄像头时，系统通过摄像头画面做视觉识别——不只是"摄像头被调用"这么粗，而是识别画面里是否真的出现了人、手机、相机这类拍照相关物体，置信度达到阈值才触发。

2. 触发即锁屏，重启也解不开

一旦识别到拍照行为，终端立刻锁屏，弹出"禁止拍照"提示，必须联系管理员远程解锁。关键是：自己重启电脑也没用，这一招直接断了员工"拍一下然后重启"的侥幸。

3. 自动截屏留证，管理端可查

触发锁屏的同时，系统自动把当时摄像头拍到的画面截下来，连同时间、用户、终端、场景描述（比如"场景中可能包含：人、手机、笔记本电脑"）一起上报管理端。管理员在后台能看到完整的"谁、什么时间、对着什么拍、拍到了什么"。

这一步特别重要——光锁屏还不够，得把现场证据留下来，不然员工一句"我没拍照"就顶回来了。

三、配置上的几个坑

1. 置信度阈值别拉满：设太高会漏（手抖拿个手机都不触发），设太低会误报（开视频会议也被锁）。建议先 60% 左右跑一周，按误报情况调；

2. 白名单场景：会议室开远程会议、培训等正当用摄像头的场景，要把对应部门/时段加白名单，不然天天误锁屏；

3. 锁屏解锁流程：必须提前和业务部门说清楚"锁屏了找 IT 远程解"，不然第一次触发就是一场事故；

4. 多屏和摄像头权限：部分笔记本摄像头被硬件开关关了的机器，检测逻辑要单独测，避免漏装；

5. 别只靠锁屏：锁屏是威慑，水印和日志是追溯，三件套一起上才完整。

总结

屏幕防拍照不是一个"开个水印"就完事的功能，完整方案应该是：

• 文字水印：基础威慑，让拍下来的东西自带署名；

• 点阵水印：高敏岗位防翻拍；

• 场景化叠加：按文档/岗位/区域触发，不伤体验；

• 主动检测：识别拍照场景 → 当场锁屏 → 自动截屏留证 → 管理端追溯。

迪康这套我们在客户现场跑下来，员工真的会收敛——他知道一抬手电脑就锁了、现场照片还直接发到 IT 桌上，比反复培训有用得多。