银河麒麟V10 SP1起内置动态与隐形屏幕水印功能，支持X11应用；动态水印通过安全中心配置可见信息，隐形水印以LSB嵌入显存并需密钥解码，两者均实现身份溯源与行为威慑。
您正在使用银河麒麟操作系统，需要在屏幕显示层嵌入不可见或半透明水印，防止他人通过截屏、拍照等方式泄露机密文档内容，实现身份溯源与行为威慑。
启用系统原生动态屏幕水印
该功能自银河麒麟V10 SP1起内置于KYSEC安全框架中，无需安装第三方软件，水印随用户登录自动加载，覆盖所有X11应用窗口（含WPS、浏览器、PDF阅读器等）。
第一步：点击左下角「开始菜单」→ 搜索框输入“安全中心” → 打开应用。
第二步：左侧导航栏选择「屏幕内容防护」→ 右侧切换至「动态水印」子页签。
第三步：点击「启用动态水印」开关 → 系统将弹出权限确认框，输入当前用户密码完成授权；【若未弹出密码框，请确认已用管理员账户登录且未处于远程桌面会话中】。
第四步：在「水印内容模板」栏中输入组合字段，例如：工号:{uid}｜时间:{datetime}｜终端:{hostname}；支持的变量包括{uid}、{username}、{datetime}（格式自动为YYYY-MM-DD HH:MM）、{hostname}、{ip}（仅首块网卡IPv4）。
第五步：调节「透明度」滑块至60%～75%，「倾斜角度」设为25°，「密度」选“中等”；点击「预览」按钮，观察右下角浮动水印是否清晰可辨又不遮挡正文。
配置隐形水印用于事后溯源
隐形水印以LSB（最低有效位）方式嵌入显存帧缓冲区，肉眼完全不可见，但可用专用解码工具从截图或录屏文件中还原出用户标识与时间戳，适用于高敏感审计场景。
方法一：启用隐形水印模块
打开终端，执行：sudo kysecctl --set screen-watermark=invisible → 若返回OK，说明模块已加载；若提示command not found，请先运行sudo apt install kysec-tools安装套件。
方法二：绑定解码密钥与水印策略
执行：sudo kysec_set -n invisible_wm_key -v "AES256-CTR-$(hostname)-2026" /proc/kysec/watermark/key → 此密钥将用于后续解码，【请手动记录该完整字符串，丢失后无法还原水印】。
方法三：指定生效范围
默认对全部X11窗口生效；如需限定仅对WPS和Firefox生效，运行：sudo xproctl --add --class "wps.x" --invisible-wm → 再执行：sudo xproctl --add --class "firefox" --invisible-wm。
验证水印是否生效
① 动态水印验证：打开任意文本编辑器，输入“测试水印可见性”，全屏显示 → 观察屏幕右下区域是否有半透明浮动文字；尝试用kylin-screenshot截图 → 打开截图文件，确认水印文字清晰叠加于图像之上。
② 隐形水印验证：在终端中执行：kysec-watermark-test --mode=encode --text="verify" → 成功后无输出；再运行：kysec-watermark-test --mode=decode --file="/tmp/test.png"（需提前用截图工具保存一张含文字的图到该路径）→ 若返回原始字符串及时间戳，说明嵌入与提取链路正常。
③ 强制绕过测试：用xdotool key Print触发系统截图 → 立即用gimp打开生成的PNG → 使用“颜色→组件→通道混合器”，将红色通道权重调至100%，观察是否浮现微弱网格状编码图案（即隐形水印载体）。
