数据防泄密里有一个经典难题：U 盘、邮件、网盘、IM 等数字通道都能封堵，唯独手机对着屏幕拍一张照片，任何软件都拦不住。这个物理通道的答案不是“堵”，而是“威慑 + 溯源”：水印让拍照者知道“拍了也赖不掉”，也让追溯者能“从照片反查到人”。本文把屏幕水印和截屏管控的技术路线、坑点和对抗思路讲透。
- 先想清楚：水印到底在解决什么问题
脱离目标谈技术就是耍流氓。屏幕水印的目标不是“装饰”，而是两个：
威慑：拍摄者看到屏幕上挂着自己的姓名、工号，按下快门前会三思，这是心理防线；
溯源：照片流出去之后，能从画面里的水印反查“哪个人、哪台终端、什么时间”，这是证据链。
这两个目标决定了水印的两个硬性要求：信息必须可定位到人，纯 Logo 水印毫无溯源价值；水印必须在画面里难以去除，居中、半透明多层布局，而不是贴个边角。
一个合格的显式水印至少包含：姓名、工号/账号、终端标识、时间，且时间最好动态刷新。静态时间的水印会让“我拍的是旧画面”成为借口。 - 屏幕水印的技术路线：四条路，优劣分明
路线一：应用层 Hook
最早期的做法是 Hook GDI 的文本绘制函数，在应用窗口输出时叠加文字。如今这条路基本可以放弃：应用渲染早已多样化，DirectX、硬件加速、UWP/WinUI 等让 GDI Hook 覆盖不了现代应用；而且 Hook 注入本身脆弱，是杀毒软件和 PatchGuard 的重点关照对象。今天还在用应用层 Hook 做水印的方案，防护价值有限。
路线二：壁纸/桌面层
把水印画进壁纸，或往桌面窗口（Progman/WorkerW）上叠一层半透明窗口。优点是简单；缺点致命：应用窗口全屏或最大化时会完全遮挡水印，而涉及敏感数据的操作，恰恰大多发生在全屏应用里。这条路只能当辅助。
路线三：DWM 桌面合成层（当前主流）
Windows 的桌面由 DWM（Desktop Window Manager）统一合成，所有窗口最终都变成 DWM 手里的纹理，拼成你看到的桌面。在合成层做水印的思路是：在最终合成输出的画面上叠加水印层。常见实现是创建一个穿透点击的顶层透明窗口，用 DwmEnableBlurBehind / UpdateLayeredWindow 绘制半透明水印，配合 WS_EX_TRANSPARENT | WS_EX_LAYERED | WS_EX_TOPMOST，让它浮在所有内容之上但不响应鼠标。
关键工程细节：
置顶稳定性：要处理其他置顶窗口（视频会议、投影软件）的抢占，水印窗口需要监听 Z-order 变化重新置顶，或使用比标准 TOPMOST 更强的驻留方式；
多显示器：每个显示器独立水印窗口，坐标系各自处理；
高分屏与缩放：DPI awareness 必须做对，否则水印在 125%/150% 缩放的屏幕上位置错乱；
性能：水印窗口的重绘要走 GPU 合成路径，避免 CPU 逐帧绘制。静态水印只绘制一次，动态时间水印用定时局部重绘，开销控制在可忽略量级。
这条路线的本质优势：水印挂在“用户最终看到的画面”这一层，应用怎么渲染都绕不开它。
路线四：图形输出层（更彻底但更重）
在更底层做：DXGI 输出复制 / 镜像驱动层面对最终帧做叠加。优势是连某些特殊渲染路径也能覆盖；代价是开发维护成本高、显卡驱动兼容面大。多数商用方案以路线三为主，路线四作为特定场景补充。 - 截屏管控：真正的难点在“通道太多”
屏幕水印是“拍下来能找到人”，截屏管控是“让你截不出去”，两者必须配套——只上水印不封截屏，等于只装监控不装门。
Windows 上的截屏通道比多数人想象的多：
PrintScreen 键：键盘消息，Hook 拦截，最基础
Win+Shift+S / 截图工具：系统组件，进程级封堵；
Windows 游戏栏 Win+Alt+PrtScn：GameBar 组件，进程级封堵；
第三方截图软件：QQ/微信/钉钉截图、Snipaste 等，进程黑名单 + 注入拦截；
Windows.Graphics.Capture（WGC）：Win10 1903+ 的现代截屏 API，新 API，管控关键；
DXGI Desktop Duplication：屏幕复制接口，录屏软件常用，接口调用监控；
远程桌面 / 协助：RDP 协议自身携带画面，会话识别 + 水印嵌入或会话管控。
前几个都是“体力活”，逐一封堵即可，真正的坑在最后三个：
WGC 是近年最大的管控漏洞。 从 Win10 1903 开始，系统提供 Windows.Graphics.Capture API，任何 UWP/Win32 应用都可以走这个官方接口拿到屏幕画面。传统 Hook 思路对它完全无效，因为它是 compositor 主动喂数据。靠谱的管控要在系统策略层和应用层双管齐下：通过应用权限策略限制非授权应用调用捕获能力，Agent 侧监控捕获会话的创建，GraphicsCaptureSession 激活事件在系统日志和 API 层面均有迹可循。
DXGI Desktop Duplication 是录屏软件的标配通道。 管控思路是监控 DXGI 输出 duplication 对象的创建，并对已知录屏进程做特征识别。
远程桌面是最容易被忽略的通道。 本地封得死死的截屏，员工开一个远程桌面连自己家里的电脑，画面流出去无解。务实做法是识别 RDP 会话，对敏感终端限制外发会话，或强制远程会话同样叠加水印——水印要嵌进 RDP 的画面管线，而不是只画在本地屏幕上。
诚实的结论：截屏管控做不到数学上的“全覆盖”，目标是封堵 95% 以上的常规通道，剩下 5% 靠水印兜底。这就是“阻断 + 溯源”双层架构的意义，单层方案都有明确的绕过路径。 - 打印水印：另一条容易失守的通道
截屏封住了，打印呢？打印水印的实现链路完全不同：
EMF/Spool 处理：Windows 打印走 EMF 假脱机文件，可以在打印驱动栈上插一层，往 EMF 流里注入水印文字再送打印机；
打印监视（Port Monitor）：在端口监视层记录“谁、什么时间、哪台打印机、什么文档名”，与 spool 文件关联做审计；
应用层：Office 等有自带水印功能，但依赖用户设置，不可作为管控手段。
工程要点：水印注入要处理 EMF 的坐标系和纸张方向，否则横打竖打位置漂移；对“打印到 PDF/XPS 虚拟打印机”也要覆盖——很多人以为“打印成 PDF 再拷走”不算外发，其实全是外发。 - 对抗与反对抗
水印系统上线后，常见的绕过尝试及对策：
窗口化 + 裁切：只拍应用内容区域，避开边角水印。对策是水印多层布局（四角 + 中心区域间隔排布）+ 半透明贯穿整个画面，裁无可裁；
虚拟机/远程绕过：在虚拟机里看敏感系统，物理屏幕上拍的是虚拟机窗口，主机水印无法嵌进虚拟机内部画面。对策是准入层面识别虚拟化环境，敏感系统终端禁止建立对外 RDP/虚拟机透传，且虚拟会话本身也要做水印嵌入；
多屏拍摄只拍副屏：对策是每屏独立水印，全部带身份；
拍照后修图去水印：显式水印确实可以修，但多层半透明水印的去除成本极高，且隐蔽水印（隐写）可作为第二层：在画面的频域嵌入不可见标识，肉眼无痕、常规压缩不丢。显式负责威慑，隐式负责司法鉴定级溯源，两层的组合才完整。 - 工程落地的几点经验
性能红线：水印组件的常驻开销应控制在零感知量级，静态水印零开销，动态水印只做局部重绘，绝不做全屏逐帧 CPU 绘制；
兼容清单：视频会议、投影、远程协助软件与置顶水印的冲突要逐个验证，必要时提供“演示模式”的审批豁免，但豁免必须走流程、留记录；
灰度上线：水印策略按部门灰度，先内测再全量，别在年终汇报投影的当天全公司强制水印；
策略分层：不同敏感度终端用不同水印强度，窗口工位全局强水印，行政办公轻量水印，一刀切是最常见的失败原因。 - 放到一体化平台里看
单点的水印工具市面上不少，但价值兑现依赖两个前提：水印信息能定位到人，与账户体系打通；事件能关联查询，与审计数据同源。
以迪康端点安全一体化管理系统为参照，其屏幕水印能力与用户体系、审计体系联动：水印字段直接取自登录账号，截屏/打印事件与文件操作、U 盘事件进同一数据底座，一次疑似外泄事件可以按“人 + 时间”拉通所有通道的时间线。这也是评估这类功能时值得关注的点：水印本身不难，难的是水印背后的身份与数据链路。 - 总结
屏幕水印与截屏管控是“物理通道数字防御”的标准答案，技术要点归纳：
水印走 DWM 合成层，信息含“人 + 设备 + 时间”，多层布局防裁切；
截屏管控逐通道封堵，重点盯 WGC / Desktop Duplication / 远程桌面三个新通道；
打印水印在 spool 层注入，别漏了虚拟打印机；
隐蔽水印做第二层，显式威慑 + 隐式取证；
单层方案必有绕过路径，“阻断 + 溯源”双层才是完整解。
拍屏的手拦不住，但让每一张流出的照片都变成一张“自首通知书”——这就是这套技术的全部意义。
