Image Watermark Tool 浮水印實測，證件照全程不出瀏覽器

用 AI 摘要這篇文章：

ChatGPT Claude Perplexity Google Grok

「你的圖片不會被發送到任何伺服器」，這是 Image Watermark Tool 頁面上最顯眼的承諾，也是大家敢把身分證、健保卡、護照照片拖進一個陌生網頁的唯一理由。這個 2024 年走紅的開源浮水印工具確實守住了這句話，但 2026 年 10 月再走一遍它流傳最廣的入口，你先撞上的會是一個要求輸入每日密碼的陌生門戶，頁面上掛著點擊加群領福利的連結，和浮水印沒有半點關係。工具本體沒有變質，壞掉的是入口與包裝。接下來把現況一次講清楚：它的浮水印確實全程在瀏覽器裡完成、兩個官方入口一個已易手、一個是空殼，想用只剩自己架一條路，而這條路十五分鐘就能走完。

先把主角講完。Image Watermark Tool 是開發者 unilei 以 MIT 授權開源的網頁浮水印工具，技術底是 Nuxt 3 加 Vue，用途設計得非常明確：在交出證件照之前，把「僅供某某驗證使用」這類字樣以斜向平鋪的方式蓋滿整張圖，降低照片被挪去開戶、註冊的風險。截至 2026 年 10 月，專案累積 405 個星、114 次 fork，原始碼則停在 2024 年 6 月。它是那種把一件事做對的小工具，問題從來不在功能，在於你從哪個門走進去。

流傳最廣的官網連結，現在是別人的門戶

用瀏覽器實際打開 watermark.aicompasspro.com，畫面接連被導向兩次，最後落在名為 AtUid 的密碼門戶：標語寫著訪客太多請驗證密碼，密碼每日更新，旁邊還有一鍵取得最新密碼與加入群組領限時福利的按鈕。整頁內容與圖片浮水印無關。這個網域是 README 上登記的官方示範站，部署教學的成果截圖也存在同一個網域的圖床服務裡，也就是作者自己經營的平台。

Pin

網際網路檔案館的歷史快照還原了時間線：2024 年 8 月的快照裡，這個網址就是工具本體，標題與介面完整；到 2025 年 3 月，快照已經換成域名註冊商 Dynadot 的拍賣頁，寫著網域已到期、可競標。也就是說在 2024 年下半年到 2025 年初之間，這個網域到期易手了，如今經營它的人把頁面做成依訪客身分分流的導流站：頁面內嵌的腳本會先查訪客的所在地位址，中國大陸連線、海外連線與自動化程式分別送去不同網站：實測海外線路與自動化程式落在兩個不同的密碼門戶，內容同樣是密碼清單與導流連結，查詢結果還會在瀏覽器裡快取十五天。這種壞法沒有修復的一天，而 2024 年寫下的推薦文章，至今仍找得到掛著這個連結的。

作者九月復活的官方示範站，是打不開的空殼

2026 年 9 月 15 日，作者回來了。他新建了 watermark-tool 展示倉庫，說明欄寫著這是 image-watermark-tool 的復活示範站，並把它架上自己的 GitHub Pages 網址。聽起來像復活，實際打開是另一回事：頁面的 HTML 骨架載入了，但瀏覽器接著要抓的程式與樣式資源全部落空，連同網站圖示一共 14 個檔案回 404，開發者工具的網路面板一片紅。

Pin

原因是一行漏掉的設定。這個專案打包時沒有指定網站的基底路徑，頁面於是到網域根目錄去找資源檔，檔案實際卻放在子目錄裡。實測可以直接對照：根目錄路徑的資源回 404，子目錄裡同一個檔案回 200，內容完好，就是頁面找不到它。後果是頁面只剩下伺服器預先算好的靜態骨架，看得到標題與選檔按鈕，但顏色選擇器、透明度滑桿這些控制項全不渲染；實際選一張圖上傳，畫布停在空白預設尺寸，一動也不動。官方示範站目前只能看，不能用，小型專案的復活公告與真正可用之間，差的常常就是這一行。

自己架一次，十五分鐘內從安裝到下載

原始碼本身是能跑的，而且很輕。把倉庫複製到本機，npm install 十幾秒就裝完，npm run dev 起在本機的 3001 埠，瀏覽器打開就是完整介面。介面語言只有簡體中文與英文兩種，線上版預設顯示簡中。

實測流程是這樣的：準備一張 1400 乘 900 的測試卡片照，選檔上傳，右側畫布隨即畫出原圖；把浮水印文字改成兩行中文字，按一下 Tab 讓它重繪，斜向平鋪的半透明文字隨即蓋滿整張圖。左欄所有參數都是即時調整：透明度從零到一、間距一到十六、字級零點一到十、傾斜角度正負九十度，顏色任選，也能切換成單一浮水印模式，用兩支滑桿自訂水平與垂直位置。按 Download，輸出的 PNG 約 316 KB，檔名沿用原圖，打開就是蓋好浮水印的成品。輸出檔是畫布重新編碼的結果，原圖的 EXIF 中繼資料不會跟著過去，拍攝位置、器材資訊這類尾巴一併被留在原地，對隱私是加分；浮水印文字用的是各作業系統的系統字型，跨平台輸出的字樣會略有差異。

Pin

照片不上傳是真的，頁面零連線是誤會

順著原始碼把整條處理鏈走一遍，可以確認核心承諾成立。選好檔案後，瀏覽器用 FileReader 把圖讀進記憶體，畫上 Canvas，再用 fillText 把浮水印文字一列列鋪上去；按下載時，程式把畫布轉成 PNG 存檔。整條路徑裡沒有任何把圖片位元組往外送的程式碼，唯一一個 XMLHttpRequest 是對記憶體裡的資料網址發請求，用途只是算出下載進度條的百分比。行為層也驗了：實測全程記下每一個網路請求，上傳、重繪、下載跑完一輪，沒有出現任何非讀取類型的請求，圖片內容不在任何外送封包裡。

但 README 寫的「無需任何網路連接」，只在圖片那一層成立。設定檔裡，頁面每次載入都會連 Google 分析、載入 Google AdSense 聯播腳本（發布者編號直接寫在設定裡），另外還拉了 Cloudflare Turnstile 的驗證腳本。自架版一樣：本機跑的版本每開一次頁面，仍對外發出十五次連線，其中十三次屬於 Google 廣告與分析生態，另外兩次是 Cloudflare 的驗證腳本，請求對象從代碼管理器、DoubleClick 聯播網到廣告品質監測端點都有。Turnstile 那段甚至是死碼，要渲染的畫面元素在樣板裡被註解掉了，腳本卻照載不誤。順帶一提，依賴清單裡的 axios、bcryptjs 這類套件在程式裡找不到使用處，圖片壓縮函式庫的引入也被註解掉，屬於專案樣板留下的行李，不影響功能，但顯示這份程式碼沒有被細心梳理過。

作者本人對這件事並不掩飾。2024 年 4 月有人在問題回報區建議把所有對外請求拿掉、做到百分之百本地，作者回覆的意思是：不打算打包成桌面程式，網頁總是要聯網的，這個需求很簡單，可以自己改。換句話說，廣告與分析是刻意留下的，圖片不出門、流量紀錄出門，是這個工具真實的隱私形狀。還有一層值得知道：廣告發布者編號屬於原作者，你自架的版本每千次瀏覽的廣告收益算他的，等於免費替他的帳號打工，除非刪掉或換成自己的編號。對交一張身分證照片的場景，照片不出伺服器這件事守住了，造訪紀錄進 Google 廣告系統多半無傷大雅；但若你的標準是連這個都不能有，把設定檔裡那幾行腳本刪掉再建，就是真正的零連線版本。

想自己驗證任何一款宣稱本地處理的線上工具，有個不花腦力的辦法：打開瀏覽器開發者工具的網路面板，上傳圖片前後各看一眼請求清單，如果多了帶著圖片體積的對外請求，承諾就破了；像這款工具這樣全程只有廣告與分析的零星連線、沒有任何承載圖片內容的封包，承諾才算數。這個動作三十秒，比相信任何網站的文案都快。

想長期用，部署時補一行設定就穩了

自架有三條路。最短的是本機跑，前面實測走過，裝完依賴一行指令起服務。想給家人朋友一個網址用，README 提供一鍵部署到 Vercel 的按鈕，fork 專案、點兩下就有自己的站。習慣容器的話，貢獻者維護了兩組 Docker 映像，一般版一個埠就起，另一組附 nginx 並支援掛上自己的憑證走 HTTPS。

部署環節有兩件事值得記下。只要部署在子路徑，例如 GitHub Pages 的專案頁或自訂網域的子目錄，就要在設定檔補上基底路徑（baseURL），否則就會重演官方示範站的資源全滅事件；部署在網域根目錄則不用。再來，授權與狀態要分開看：MIT 授權讓你商用、改造、內部部署都合法，但原始碼 2024 年 6 月後凍結，2026 年 9 月作者只回來推了示範站，主倉庫一行未動，把它當一份穩定但停止演進的程式碼使用，期待要放對地方。

先看四個限制，再決定要不要收進工具箱

四個限制會直接影響日常使用。大圖會卡死：超過 10 MB 的圖按下載會一直轉圈，有使用者回報 19 MB 的圖等了好幾分鐘進度仍在零，9 MB 則兩秒完成，這個問題從 2024 年開到現在沒有修，手機直出的原圖最好先縮圖再上傳。介面沒有繁體中文：語言檔只有簡體中文與英文，預設浮水印字樣也是簡體中文，台灣使用者要自己改成習慣的字樣；比較微妙的是，2025 年 11 月有熱心網友在問題區附上整套繁中介面翻譯，到今天原封不動放著，沒有被採用。一次只能處理一張圖，沒有批次佇列，整批證件照的需求要另找工具。維護已凍結：功能不會再長，未來瀏覽器政策若有變動，也別指望上游修。

另外補一個使用面上的慣例。證件照浮水印真正要防的是照片被原圖挪用，所以字樣除了用途，最好把日期與收款對象一起寫進去，例如某年某月僅供某機構某項業務驗證；文字太淡或只蓋角落，都容易事後被裁切或調掉。這個工具的斜向平鋪與透明度預設值落在合理範圍，改字樣時維持能辨認的濃度就好。

浮水印工具這幾年選擇不少，依任務挑比記品牌實在。站上先前整理過幾條路線，對應不同情境：只是想快速給一張照片加浮水印、什麼都不想架，加水文這類線上工具從頭到尾不出瀏覽器；要一次處理整批照片，weilkq 是開源的批次浮水印工具；想把版權記號藏進圖片、壓縮後仍讀得回，blind_watermark 做的是看不見的隱藏式水印；需求反過來、要從照片上移除浮水印的人，可以看HitPaw Watermark Remover 的免費限制與購買解析。

回到最初的問題：證件照要交出去了，這工具值不值得用？值得，但只值得用你自架的那一份。它的浮水印邏輯簡單到十分鐘內可以讀懂與驗證，MIT 授權讓你放心改成自己的版本；相對地，任何別人放在網路上的「線上版」，都值得在拖入證件前多問一句這一頁連向誰。網址會過期、網域會被拍賣、示範站會壞在一行設定，這是近乎單人維護的開源專案常見的際遇；把入口握在自己手裡，是這類小工具最耐用的用法。