一个二维码，制码遭恶从生成到被扫，零门中间能塞进多少恶意？槛易2023年，浙江某地菜市场的意篡摊主们集体换了收款码。原因不复杂：有人半夜摸进市场，改替把几十个摊位的制码遭恶二维码贴纸揭下来，换上自己的零门。顾客扫码付钱，槛易钱进了别人口袋。意篡摊主第二天发现时，改替损失已经累计上千元。制码遭恶二维码本身没坏，零门它只是槛易被换了。

制码这件事，意篡门槛低到几乎没有。改替打开任何一个搜索引擎，输入“二维码生成”，前二十个结果里至少一半是免费工具。不需要注册，不需要实名，不需要说明用途。输入文字、网址、甚至一段代码，点一下，图片就出来了。整个过程不超过十秒。一个中学生用手机就能完成。

这种零门槛带来了一个直接后果：二维码成了信息伪装最方便的载体。你扫的码，表面看是“扫码领红包”，实际可能指向一个钓鱼网站。你以为是餐厅点餐码，后台却在读取你的通讯录。更常见的是替换——把原码覆盖掉，换成自己的。成本极低，一张贴纸几分钱，打印出来往上一贴，完事。

我见过一个案例。某小区快递柜上的取件码，被人批量替换成推广码。用户扫码取件，先跳到一个贷款广告页面。关掉广告，再点一次，才进入取件界面。多出来的这一步，就是被塞进去的。物业后来调监控，发现是一个穿外卖服的人，趁半夜挨个贴的。抓到了，拘留几天，出来还能继续干。违法成本跟收益完全不成比例。

二维码的技术原理决定了它天生容易被篡改。它本质上就是一个图形化的字符串。你把“https://good.com”生成二维码，和把“https://bad.com”生成二维码，外观上没有任何区别。都是黑白方块，大小差不多，肉眼根本分辨不出来。除非你扫之前先用安全软件检测，但大多数人没这个习惯。

更麻烦的是，二维码一旦被替换，原主人往往毫不知情。商家贴出去的码，可能几天后就被换了。顾客扫码付款，钱付了，商家没收到。顾客以为付过了，商家以为没付。纠纷起来，查监控，查记录，折腾半天。最后发现是码被换了。谁换的？不知道。什么时候换的？不知道。损失谁赔？大概率商家自己扛。

有人会说，那就用动态码，每次刷新。动态码确实安全一些，但成本高，需要屏幕显示，需要联网。街边卖烤红薯的大爷，不可能随身带个平板。静态码便宜、方便、耐用，但就是容易被覆盖。这是一个死结。

监管层面，目前对二维码生成工具几乎没有约束。你开发一个生成器，不需要备案，不需要审核内容。用户拿它生成什么，平台不管。这就等于把刀放在大街上，谁都能拿。拿去做菜可以，拿去伤人也可以。事后追责？生成器早跑路了。

普通用户能做什么？扫之前看一眼。看码有没有被覆盖的痕迹，看贴纸边缘是否翘起，看旁边有没有奇怪的胶印。付款时跟商家确认一下，别扫完就走。这些动作花不了几秒钟，但能挡掉大部分低级替换。至于高级的，比如直接入侵系统替换数据库里的码，普通人防不住，只能靠平台自己上心。

二维码是个好工具。它让信息传递变得极简。但极简的另一面，就是极容易被动手脚。零门槛制码，零门槛替换，零门槛作恶。这三件事叠在一起，就是一个持续存在的漏洞。堵不住生成端，至少得管住替换端。可惜目前两头都松。

(责任编辑：综合)