@font-face本身不违法，关键在于是否获得字体网络嵌入授权；须核查原始LICENSE条款，优先选用OFL-1.1、Apache-2.0、MIT等明确允许Web嵌入的授权字体，避免使用仅限个人或禁止商用的字体。
字体文件直接放 font-face 里就违法？
不一定违法，但大概率踩线。关键不在“放没放”，而在你有没有权利把那个字体文件部署到公开网站上。很多免费下载的字体，其license.txt里明确写着“仅限个人使用”或“禁止网络嵌入”，这时候哪怕你本地测试用 @font-face 加载了，只要上线、被他人访问，就构成公开传播——这已经超出多数免费授权范围。
常见错误现象：Failed to load resource: the server responded with a status of 403 (Forbidden) 看似是路径问题，其实是字体服务商（比如 Adobe Fonts、Monotype）主动拦截未授权域名的请求；更隐蔽的是压根没报错，但字体渲染正常，用户却在法律函里看到自己公司名字。
- 商用字体（如思源黑体、Noto Sans）要查清具体子版本的许可证：思源黑体
SIL Open Font License允许商用嵌入，但必须保留版权声明；Noto Sans 的 Apache 2.0 授权也允许，但某些变体（如 Noto CJK SC）可能有额外条款 - Windows 自带字体（如
Microsoft YaHei、SimSun）不能直接用@font-face引用本地路径，因为用户系统字体不可控，且微软许可禁止提取、重分发字体文件 - 用
font-display: swap不影响授权性质，它只控制加载行为，不豁免版权责任
怎么确认一个字体能不能用在网页上？
不能只看下载页面写的“免费”或“可商用”。必须定位到原始发布方的官方 LICENSE 文件，逐条比对关键词。中文圈尤其容易误判：某字体官网写着“免费下载”，但底部小字注明“仅限非商业项目”；另一个 GitHub 仓库标着 MIT，可实际引用的是第三方修改版，原作者已撤回授权。
实操建议：
立即学习“前端免费学习笔记（深入）”；
- 优先查
OFL-1.1、Apache-2.0、MIT这三类明确允许 Web 嵌入的许可证；避开CC BY-NC（禁止商用）、EULAs（最终用户许可协议，通常禁止网络分发） - 用
curl -I https://example.com/font.woff2看响应头是否有X-Font-Allowed-Domains或X-Robots-Tag，这是部分字体 CDN 的风控信号 - 国内平台（如字由、站长之家）打包的字体包，90% 没获得原厂再授权，直接引用等于帮他们侵权
@font-face 的 src 写法暗藏风险
很多人以为只要字体文件放在自己服务器，就“拥有使用权”。错。授权约束的是字体文件的使用方式，不是托管位置。把某付费字体的 .woff2 文件上传到自己 CDN，再用 @font-face 引用，反而坐实了“未经授权复制并分发”的事实。
将 Markdown 文章转换为微信公众号兼容的纯 HTML 格式。当用户要求"转成微信格式"、"生成公众号文章 HTML"、"排版到微信草稿箱"、"微信粘贴格式"时触发。输出带内联样式的纯 HTML，微信编辑器可直接渲染，无需额外适配。支持标题、段落、列表、粗体、行内代码、表格、引用块、代码块、配图的完整转换。
更危险的是多源 src 写法：
@font-face {
font-family: 'MyFont';
src: url('https://fonts.example.com/myfont.woff2') format('woff2'),
url('/local/myfont.woff') format('woff');
}
这段代码会让浏览器按顺序尝试加载——一旦远程地址失效，就会 fallback 到本地路径。而这个“本地路径”如果指向你私自提取的 Windows 字体或盗版字体包，法律风险立刻翻倍。
- 避免混用来源：要么全用合规 CDN（如 Google Fonts、Adobe Fonts），要么全用自托管的 OFL 字体，不要交叉
-
url()中的路径如果是相对路径（如./fonts/xxx.woff2），务必确认该文件是你合法获取、且授权允许再分发的 - 某些字体（如方正兰亭黑）提供“Webfont 授权”，但需单独购买，价格远高于桌面版——别拿桌面版安装包去转成 woff2
用户看到的字体，不等于你能用的字体
浏览器渲染时，如果指定的 font-family 在用户系统中存在（比如写了 font-family: 'Helvetica Neue'），就会直接调用本地字体，绕过所有 @font-face。这种“系统字体 fallback”看似省事，实则埋雷：你无法控制用户装了什么字体，更无法确保他们系统里的那份 Helvetica 是从哪来的。
苹果 macOS 自带的 San Francisco、华为 HarmonyOS 的 Harmattan，均明确禁止第三方网站通过 CSS 名称调用——它们不是开放字体，而是操作系统 UI 资产。
- 写
font-family列表时，把系统字体放最后，且仅作为兜底（如'PingFang SC', 'Hiragino Sans GB', sans-serif），不主动声明为首选 - 用
font-display: optional会抑制字体加载，但不会规避授权问题；它只是让浏览器“选择不加载”，不代表你放弃了使用权主张 - 最稳妥的兜底永远是通用字体族名：
sans-serif、serif、monospace，而不是某个具体品牌名
字体授权不是技术问题，是合同问题。技术能绕过加载失败，绕不过律师函里列出的字体文件哈希值和请求时间戳。
