掃之前先看清：一張列印碼安不安全，兩道習慣就夠了
最後更新：2026 年 10 月 15 日
對 QR Code 的信任有兩端——手裡握手機的人，和把紙貼出去的人。這一頁兩邊都講，不嚇唬，也不假裝風險不存在。這幾年真正變了的不是技術；變的是騙子學會了把假碼貼在真碼上，也變的是你 2019 年用的那個「免費 QR Code 產生器」悄悄改成付費、換了東家或乾脆沒了——而牆上那張紙，還指著它今天所指的地方。
① The real risk
真正會出問題的三種形狀
幾乎所有能上新聞的 QR Code 事故都是以下三種形狀之一。看清楚你面對的是哪一種，就知道該怎麼做。
形狀 1
貼在真碼上的假碼
停車計時器、共享單車、餐廳桌牌與公共 Wi-Fi 標牌是最扎眼的例子。有人印一張假碼貼在真碼上，把你引到一張仿冒的支付頁。
形狀 2
你租的中間層不見了
動態 QR Code 指向一個由服務商控制的網址。服務商被收購、漲價或跑路時，那張列印碼就跟著他們去到你沒簽過的地方——或哪裡也去不了。
形狀 3
落地頁要它本不需要要的東西
門已經推開，頁面還要你的慣用帳戶密碼、卡號或身分證號——這跟任何釣魚連結是同一個紅旗。碼沒做錯什麼；要提防的是那一頁。
② For the person scanning
四個習慣擋掉絕大部分風險
→開啟之前先看相機預覽的域名手機相機底部會顯示這一碼指向的網址，用一秒讀一下域名——不是路徑，是 「//」 與下一個「/」 之間那一段。
→不要掃你沒主動找的碼如果它被貼在了另一碼上，或出現在一張原本沒有碼的海報上——把它當成不熟悉的超連結處理，答案是「不掃」。
→免費的東西要付款就是紅旗菜單、活動報名、Wi-Fi 上網、照片相冊——沒有一個需要你的銀行卡。頁面這樣要，停下，直接去找真服務。
→不要重輸你已有的密碼掃碼之後的頁面讓你「確認」郵件、銀行或政務帳戶——不是釣魚就是仿冒。正規服務方不需要你在新頁面重輸。
關於新聞裡的 QR Code 警報
2024 到 2025 年，好幾個國家的執法部門警告過停車計時器與共享單車上的 QR Code 貼紙騙局。這些警告是真的，機制就是上面的形狀 1。它們不是「以後別掃任何碼」的理由，而是「掃之後開啟之前，看一眼相機預覽的域名」的理由——那一秒不到。
③ For the publisher
如果你印卡，你就是別人眼中的中間層
任何一張列印碼只要指向自己並不控制的服務，就跟著那個服務的命運走。批量列印前，四條問值得挨個自問。
問 01
印在碼上的域名歸誰？
URL 是服務商的，那服務商就是這張紙最終的去處。他們改價、改跳轉或消失時，你要重印——或不重印也印不了了。選一家你能長期共處其域名下的服務商，或選一家允許你指向自己域名的。
問 02
訂閱到期時會發生什麼？
一張帶訂閱的列印碼是一種依賴。到期之後這張碼顯示什麼？硬 404、「發卡方已停止」軟著陸，還是悄悄跳到另一個目的地？掃碼的人遇到這三種體驗是完全不同的。
問 03
收到的資料能全量匯出嗎？
紙只是入口。回答才是重點。如果 CSV 藏在付費檔後面，你就在為自己的資料租儲存。每一檔都能匯 CSV 才是更安全的形狀。
問 04
「免費」之後有沒有隱藏的付費？
有一家有名的 QR Code 服務商被公開批評過：註冊時不顯眼地說清月費，兩個月後才開始扣。定價頁把成本埋起來，你就走——一張需要綁信用卡才能印出去的卡不是「免費」。
二維卡自己站在哪一邊
我們印的每一張碼都指向 qrcard-ai.com/c/<shortId>——我們自己的域名，不是租來的中間層。免費卡不會到期、不需要綁卡、CSV 每一檔都能匯。卡關閉時，掃這張碼仍會進到 qrcard-ai.com 上寫明「這張卡不再收集」的那一頁——列印的身分不會被悄悄帶到別處；卡徹底刪除、或服務真有一天關了，那張列印碼只會撞上我們自己的 404 落地頁。這就是全部承諾，也寫在我們的服務條款裡。
④ Before the print run
印之前的兩分鐘自檢，能省掉一次幾千張重印
可掃性的六條規則在「運作原理」那一頁；安全自檢不一樣，它問的是——印出去之後，那個目的地還歸你嗎？三步，按順序做。 運作原理。
- 01
用手機相機開啟，不要用 App
系統相機是你的大多數觀眾用的那個，它會先給你看預覽域名。如果預覽裡的域名是服務商的（不管歸誰），印出去就是這個。
- 02
刻意改一次目的地
把 URL 換成一個顯然不對的，用同一張試印紙重掃——如果列印碼跟著變，你手裡就是一張真動態碼。如果沒變，那就是服務商在印靜態圖，你要永遠重印。
- 03
匯出一份，刪掉一條你加的
把迴環握在自己手裡。如果 CSV 能在 Excel 裡開啟、刪除是真刪除，你才敢信資料是你的。如果匯出要你把升級，就少印一張，換一家。
FAQ
三個大家都會問的問題
要不要乾脆別再掃 QR Code 了？
不——把它們當作連結看待就好。停車計時器或桌牌上一張貼在真碼上的假碼，與點一個來路不明的連結是同一檔風險：來源不確定就別掃。反過來，你在活動現場自己找的、正規發卡方遞給你的、你買的東西盒子上貼著的，通常是安全的。
開啟之前怎麼檢查一次？
兩個習慣擋住絕大部分。第一，看手機相機在預覽裡顯示的域名——二維卡的碼永遠解析到 qrcard-ai.com/c/xxxxx，你在點進去之前就能看清這張卡的歸屬。第二，如果頁面要支付憑證、身分證號，或讓你在一個已有帳戶的密碼框裡重輸——退出來，直接去找真服務方。
中間層是什麼，為什麼要較這個真？
動態 QR Code 指向的是一個你在信任的網址，不是最終目的地。這個網址就是中間層：誰控制它，誰就決定這張碼今天跳到哪裡。網址的服務商消失、改訂閱或被拿下，列印碼跟著走。一個歸你所有的中間層（你自己的域名、你自己的匯出、你自己的資料），比你租的那種更安全。