扫码登录安全吗

插图来源：Storyset

先说结论

#

扫码登录本身是比输密码更安全的登录方式：密码不用离开你的手机，电脑端拿到的只是一个临时凭证。但"方式安全"不等于"每次扫码都安全"——风险不在技术，在人。

扫码登录是怎么工作的

#

简化成三步：1. 电脑上打开登录页，生成一个一次性的二维码；2. 你用手机 App 扫它，手机告诉服务器"是我本人在操作"；3. 服务器给电脑发登录凭证，登录完成。

关键点：二维码只在官方登录页生成。你扫的码从哪来，决定了安不安全。

可能被劫持的环节

#

• 钓鱼二维码：骗子做个假登录页，上面放他自己的二维码，你一扫，等于把登录授权给了骗子。这是最常见的套路。
• 远程扫码：骗子以"客服"“中奖"为由，让你扫他发来的码，还让你点"确认登录”。记住：凡是别人发码让你扫的，一律是诈骗。
• 屏幕共享：骗子诱导你开共享屏幕，趁机截获你的登录二维码。

扫码前必看的 3 个细节

#

1. 确认网址是官网：扫码前看一眼浏览器地址栏，字母差一位的都是假的。
2. 码只能自己扫：登录页的二维码只扫自己手机 App，别截图发给任何人，也别扫别人发来的。
3. 看清授权内容：手机上弹出的确认页会写"登录 XX 网页版"，地点设备对不上就点取消。

和密码登录、2FA 的对比

#

新一代的Passkey 通行密钥连扫码都省了，值得了解一下。浏览器指纹那篇讲了网站是怎么认出你的设备的，配合着看更有感觉。

企业微信/钉钉扫码的特别提醒

#

办公软件的扫码登录要多留个心眼：你的企业账号连着考勤、审批、公司文件，一旦被盗影响的是工作。注意两点：一是别在私人电脑上扫码登公司账号，下班记得退出；二是公司群里有人发"扫码签到"“扫码领福利”，先问行政确认，社工攻击最爱伪装成内部通知。

扫完码后，再做这两件事

#

1. 检查登录设备：扫码登录后，去账号的"登录设备管理"看一眼，有不认识的设备立刻踢掉。
2. 公共电脑用完务必退出：网吧、图书馆、公司会议室的电脑，扫码登录用完一定要点退出，别只关浏览器——扫码登录的凭证关浏览器不一定失效。

一句话总结

#

扫码登录是"方便且安全"的技术，但安全的前提是：码的来源是你亲手打开的官网。这个前提守住了，扫码比输密码省心得多。