扫之前先看清：一张印刷码安不安全，两道习惯就够了
最后更新：2026 年 10 月 15 日
对二维码的信任有两端——手里握手机的人，和把纸贴出去的人。这一页两边都讲，不吓唬，也不假装风险不存在。这几年真正变了的不是技术；变的是骗子学会了把假码贴在真码上，也变的是你 2019 年用的那个「免费二维码生成器」悄悄改成付费、换了东家或者干脆没了——而墙上那张纸，还指着它今天所指的地方。
① The real risk
真正会出问题的三种形状
几乎所有能上新闻的二维码事故都是以下三种形状之一。看清楚你面对的是哪一种，就知道该怎么办。
形状 1
贴在真码上的假码
停车计时器、共享单车、餐厅桌牌与公共 Wi-Fi 标牌是最扎眼的例子。有人印一张假码贴在真码上，把你引到一张仿冒的支付页。
形状 2
你租的中间层不见了
动态二维码指向一个由服务商控制的地址。服务商被收购、涨价或跑路时，那张印刷码就跟着他们去到你没签过的地方——或者哪儿也去不了。
形状 3
落地页要它本不需要要的东西
门已经推开，页面还要你的常规账户密码、卡号或身份证号——这跟任何钓鱼链接是同一个红旗。码没做错什么；要提防的是那一页。
② For the person scanning
四个习惯挡掉绝大部分风险
→打开之前先看相机预览的域名手机相机底部会显示这一码指向的地址，用一秒读一下域名——不是路径，是 「//」 与下一个「/」 之间那一段。
→不要扫你没主动找的码如果它被贴在了另一码上，或者出现在一张原本没有码的海报上——把它当成不熟悉的超链接处理，答案是「不扫」。
→免费的东西要付款就是红旗菜单、活动报名、Wi-Fi 上网、照片相册——没有一个需要你的银行卡。页面这样要，停下，直接去找真服务。
→不要重输你已有的密码扫码之后的页面让你「确认」邮箱、银行或政务账户——不是钓鱼就是仿冒。正规服务方不需要你在新页面重输。
关于新闻里的二维码警报
2024 到 2025 年，好几个国家的执法部门警告过停车计时器与共享单车上的二维码贴纸骗局。这些警告是真的，机制就是上面的形状 1。它们不是「以后别扫任何码」的理由，而是「扫之后打开之前，看一眼相机预览的域名」的理由——那一秒不到。
③ For the publisher
如果你印卡，你就是别人眼中的中间层
任何一张印刷码只要指向自己并不控制的服务，就跟着那个服务的命运走。批量印刷前，四条问值得挨个自问。
问 01
印在码上的域名归谁？
URL 是服务商的，那服务商就是这张纸最终的去处。他们改价、改跳转或者消失时，你要重印——或者不重印也印不了了。选一家你能长期共处其域名下的服务商，或者选一家允许你指向自己域名的。
问 02
订阅到期时会发生什么？
一张带订阅的印刷码是一种依赖。到期之后这张码显示什么？硬 404、「发卡方已停止」软着陆，还是悄悄跳到另一个目的地？扫码的人遇到这三种体验是完全不同的。
问 03
收到的数据能全量导出吗？
纸只是入口。回答才是重点。如果 CSV 藏在付费档后面，你就在为自己的数据租存储。每一档都能导 CSV 才是更安全的形状。
问 04
「免费」之后有没有隐藏的付费？
有一家有名的二维码服务商被公开批评过：注册时不显眼地说清月费，两个月后才开始扣。定价页把成本埋起来，你就走——一张需要绑信用卡才能印出去的卡不是「免费」。
二维卡自己站在哪一边
我们印的每一张码都指向 qrcard-ai.com/c/<shortId>——我们自己的域名，不是租来的中间层。免费卡不会到期、不需要绑卡、CSV 每一档都能导。卡关闭时，扫这张码仍会进到 qrcard-ai.com 上写明「这张卡不再收集」的那一页——印刷的身份不会被悄悄带到别处；卡彻底删除、或服务真有一天关了，那张印刷码只会撞上我们自己的 404 落地页。这就是全部承诺，也写在我们的服务条款里。
④ Before the print run
印之前的两分钟自检，能省掉一次几千张重印
可扫性的六条规则在「工作原理」那一页；安全自检不一样，它问的是——印出去之后，那个目的地还归你吗？三步，按顺序做。 工作原理。
- 01
用手机相机打开，不要用 App
系统相机是你的大多数观众用的那个，它会先给你看预览域名。如果预览里的域名是服务商的（不管归谁），印出去就是这个。
- 02
刻意改一次目的地
把 URL 换成一个显然不对的，用同一张试印纸重扫——如果印刷码跟着变，你手里就是一张真动态码。如果没变，那就是服务商在印静态图，你要永远重印。
- 03
导出一份，删掉一条你加的
把回环握在自己手里。如果 CSV 能在 Excel 里打开、删除是真删除，你才敢信数据是你的。如果导出要你升级，就少印一张，换一家。
FAQ
三个大家都会问的问题
要不要干脆别再扫二维码了？
不——把它们当作链接看待就好。停车计时器或桌牌上一张贴在真码上的假码，与点一个来路不明的链接是同一档风险：源不确定就别扫。反过来，你在活动现场自己找的、正规发卡方递给你的、你买的东西盒子上贴着的，通常是安全的。
打开之前怎么检查一次？
两个习惯挡住绝大部分。第一，看手机相机在预览里显示的域名——二维卡的码永远解析到 qrcard-ai.com/c/xxxxx，你在点进去之前就能看清这张卡的归属。第二，如果页面要支付凭证、身份证号，或者让你在一个已有账户的密码框里重输——退出来，直接去找真服务方。
中间层是什么，为什么要较这个真？
动态二维码指向的是一个你在信任的地址，不是最终目的地。这个地址就是中间层：谁控制它，谁就决定这张码今天跳到哪里。地址的服务商消失、改订阅或被拿下，印刷码跟着走。一个归你所有的中间层（你自己的域名、你自己的导出、你自己的数据），比你租的那种更安全。