如何验证用户上传图片为手机相机直拍而非谷歌图片下载？

没有100%万无一失的方案可以完全杜绝非相机实拍的图片上传，但你可以通过组合多种验证手段，大幅提高伪造门槛，过滤绝大多数普通用户的非实拍上传，常用手段如下：

前端层面验证 #

• 优先唤起系统原生相机而非文件选择器：给上传input标签新增capture属性，即可让移动端访问时直接拉起相机，而非弹出相册/文件选择弹窗，普通用户无法直接选择本地存储的网图。示例代码：

  <input type="file" accept="image/*" capture="environment">
  

  capture值为environment对应后置摄像头，user对应前置摄像头，该属性会被桌面端自动忽略，你可以加UA检测逻辑，仅移动端展示该上传入口
• 时间差前置校验：拍照完成后立刻读取图片EXIF中的拍摄时间，和当前设备时间做差值比对，超过你设定的阈值（比如3分钟）直接拦截上传。该手段仅作辅助，存在设备时间被手动篡改绕过的可能

后端层面验证 #

• EXIF字段完整性校验：正规手机相机拍摄的图片会携带完整的EXIF参数，包括设备型号、光圈、快门速度、GPS定位（用户授权的前提下）等字段，绝大多数网站发布的网图经过压缩转码后会抹除这些信息，也可以提前整理主流手机的相机参数库，做字段匹配校验，不符合的直接拦截。EXIF存在被专业用户手动修改的可能，但普通用户操作门槛极高
• 图片特征校验：不同品牌型号手机的CMOS传感器、ISP处理芯片会留下独有的噪点特征，你可以提前收集主流手机的相机噪点特征库，上传后做特征匹配，识别伪造图片的准确率很高，但开发成本也相对更高，适合对安全要求极高的场景。
• 网图重复检测：对所有上传图片计算感知哈希值，和已有的网图哈希库做模糊匹配，即使用户对网图做了裁剪、加滤镜等轻微修改也可以识别拦截。

高安全场景补充方案 #

如果你的业务对真实性要求极高，可以在拍照环节增加动态校验要求，比如页面随机生成临时验证码/手势提示，要求用户将提示内容放在拍摄画面中，上传后识别画面是否包含对应内容，可完全规避提前准备的网图上传，仅会小幅降低用户体验。

注意：所有方案都只能提高伪造门槛，无法做到100%绝对拦截，根据你的业务安全要求组合2-3种方案，即可过滤99%以上的非实拍上传。

内容的提问来源于stack exchange，提问作者drstuggels