把「字体 / 图片 / 图标」的版权风险
从全站里一次性揪出来，并就地整改

站点跑了好几年，模板里堆了无数 font-family，谁也说不清哪些字体能商用、哪些图片是盗图。CopyCheck 全站扫描、定点取证、一键替换为免费商用字体，并导出可直接存档的检测报告。

全站扫描字体引用检测图片盗图特征图标字体排查一键替换 + 自托管正式报告导出知识库可在线更新

4 类资源覆盖：字体 / 图片 / 图标 / 样式模板

56 条风险厂商与字体特征匹配规则

14 个免费商用字族白名单

0 处替换后非字体内容的改动（实测 diff）

Scope

一、能查什么

扫描器按扩展名把文件分成四类，每一类用不同的判定逻辑。不是"看到字体两个字就报警"，而是各自有独立的证据链。

字字体文件

站点里被直接引用或落地的字体二进制文件。

格式：ttf / otf / woff / woff2 / eot / ttc
比对厂商字库命名特征
记录 MD5 便于人工溯源

图图片

疑似来自商业图库、未取得授权的素材。

格式：jpg / png / gif / webp / bmp / tif
图库命名特征 + EXIF 版权字段
dHash 感知哈希做重复/同源比对

标图标

格式：svg / ico
解析元数据与注释里的版权声明
识别付费图标字体引用

样样式 / 模板

最关键的一类——字体真正被"用"的地方。

格式：css / htm / html
解析 font-family 声明
定位到文件 + 行号，给出原文证据

为什么「样式 / 模板」最重要：字体文件本身放在服务器上未必构成网页侵权，真正触发风险的是 CSS 里那句 font-family:"微软雅黑"——它让访客的浏览器调用系统字体渲染。所以插件把检测重心放在引用上，而不是文件上。

How it works

二、检测原理：为什么普通搜索会漏

大多数人排查字体就是全局搜「微软雅黑」四个字，结果一无所获就以为没事了。实际生产环境里的写法至少有 5 种变形，插件全部覆盖。

1CSS 转义写法

很多压缩过的 CSS 会把中文字体名转成 Unicode 转义，肉眼完全看不出，关键字搜索必然漏。

/* 实际渲染出来就是「微软雅黑」 */font-family:"\5FAE\8F6F\96C5\9ED1","Noto Sans SC",sans-serif;

插件先做 CSS 转义解码，再与知识库比对，因此这类写法照样能命中。

2font 简写属性

只认 font-family 的正则会整条漏掉 font 简写，尤其是不带字号的写法。

/* 简写，且没有字号 */font:"Microsoft YaHei","SimSun";font:14px/1.5 "Microsoft YaHei";

插件按简写语法拆解字族部分，系统关键字（bold / italic 等）自动排除。

3老式 HTML 标签

早期模板常用属性，它不是 CSS 声明，纯 CSS 解析器扫不到。

<font face="微软雅黑" size="3">标题

检测、计数、改写三处都补了 face= 分支，扫得到也改得掉。

4编码问题（GBK）

老站的 CSS 常是 GBK 编码，按 UTF-8 读出来中文全是乱码，自然匹配不上。

/* @charset "gbk"; 声明为 GBK 的文件 */font-family: ΢ź; ← 按 UTF-8 读就是乱码

采用「内容合法性优先」的编码判定：先验证是否合法 UTF-8，否则再尝试 GBK，不做无依据的强制转码。

踩过的坑：早期版本曾经盲目相信文件里的 @charset 声明，把一份实际是 UTF-8 的文件强行按 GBK 转码，导致中文注释变成乱码。现在的策略是以内容是否合法为准，转码前必须验证可逆，宁可不转也不损坏文件。此外替换前会自动备份到 data/queue/backup_时间戳/，任何一步出问题都能整包回滚。

Auto remediation