插图来源：Storyset
先说结论#
扫码登录本身是比输密码更安全的登录方式：密码不用离开你的手机，电脑端拿到的只是一个临时凭证。但"方式安全"不等于"每次扫码都安全"——风险不在技术，在人。
扫码登录是怎么工作的#
简化成三步：1. 电脑上打开登录页，生成一个一次性的二维码；2. 你用手机 App 扫它，手机告诉服务器"是我本人在操作"；3. 服务器给电脑发登录凭证，登录完成。
关键点：二维码只在官方登录页生成。你扫的码从哪来，决定了安不安全。
可能被劫持的环节#
- 钓鱼二维码：骗子做个假登录页，上面放他自己的二维码，你一扫，等于把登录授权给了骗子。这是最常见的套路。
- 远程扫码：骗子以"客服"“中奖"为由，让你扫他发来的码，还让你点"确认登录”。记住：凡是别人发码让你扫的，一律是诈骗。
- 屏幕共享：骗子诱导你开共享屏幕，趁机截获你的登录二维码。
扫码前必看的 3 个细节#
- 确认网址是官网：扫码前看一眼浏览器地址栏，字母差一位的都是假的。
- 码只能自己扫：登录页的二维码只扫自己手机 App，别截图发给任何人，也别扫别人发来的。
- 看清授权内容：手机上弹出的确认页会写"登录 XX 网页版"，地点设备对不上就点取消。
和密码登录、2FA 的对比#
| 方式 | 便利性 | 安全性 | 备注 |
|---|---|---|---|
| 密码登录 | 中 | 低 | 密码可能泄露、被撞库 |
| 扫码登录 | 高 | 高 | 前提是码的来源可信 |
| 密码+2FA | 低 | 最高 | 重要账号建议开，见双重验证方法 |
新一代的Passkey 通行密钥连扫码都省了，值得了解一下。浏览器指纹那篇讲了网站是怎么认出你的设备的，配合着看更有感觉。
企业微信/钉钉扫码的特别提醒#
办公软件的扫码登录要多留个心眼：你的企业账号连着考勤、审批、公司文件，一旦被盗影响的是工作。注意两点：一是别在私人电脑上扫码登公司账号，下班记得退出；二是公司群里有人发"扫码签到"“扫码领福利”，先问行政确认，社工攻击最爱伪装成内部通知。
扫完码后，再做这两件事#
- 检查登录设备：扫码登录后，去账号的"登录设备管理"看一眼，有不认识的设备立刻踢掉。
- 公共电脑用完务必退出：网吧、图书馆、公司会议室的电脑，扫码登录用完一定要点退出，别只关浏览器——扫码登录的凭证关浏览器不一定失效。
一句话总结#
扫码登录是"方便且安全"的技术，但安全的前提是：码的来源是你亲手打开的官网。这个前提守住了，扫码比输密码省心得多。
