上个月扫了个二维码，维码网站手机差点中招。跳转一个做自媒体的链接朋友发来条私信，说帮我推广文章，有害附了张二维码图。排查扫完跳转到一个页面，报告提示“微信授权登录”，维码网站要填手机号和验证码。跳转我多了个心眼，链接把链接复制到电脑上打开——好家伙，有害域名注册在境外，排查页面代码里藏着三处跳转脚本，报告最终指向一个博彩网站。维码网站

这不是跳转个例。过去半年我陆续收集了47个可疑二维码，链接逐个测试后发现，有害链接的跳转方式比想象中隐蔽得多。最常见的是“短链套娃”：二维码指向一个短网址，短网址再跳两到三次，最后落地页和初始域名毫无关联。有个二维码扫出来是某电商平台的优惠券页面，但页面加载完成后自动执行了一段JavaScript，0.5秒内替换成钓鱼登录页。肉眼根本来不及反应。

更麻烦的是“分时跳转”。同一个二维码，白天扫是正常内容，晚上扫就变成赌博网站。原理很简单，后台根据访问时间或IP归属地判断——审核人员上班时放正常页面，下班后切换成有害内容。我测试的47个样本里，有11个存在这种行为，占比超过两成。

怎么判断一个二维码是否安全？几个实操方法。

先看二维码的“长相”。正常二维码图案黑白分明，定位点清晰。如果二维码中间被挖掉一块嵌入Logo，要警惕——这种二维码容错率低，容易被篡改。我遇到过一张被替换了中间区域的二维码，扫出来是恶意扣费页面。另外，用手机相机扫而不是直接用微信扫。相机扫完会显示链接地址，微信扫可能直接跳转，连让你看一眼网址的机会都没有。

再看链接本身。短链不是原罪，但短链加“要求输入个人信息”就是危险信号。正规平台不会通过二维码让你填身份证号、银行卡密码。有个案例：某小区门口贴了张“扫码领鸡蛋”的二维码，跳转页面要填姓名、电话、住址。三天后填过信息的人陆续接到诈骗电话，对方能准确报出住址。

还有个细节容易被忽略——二维码的印刷材质。街边小广告上的二维码，如果是贴纸覆盖在原有二维码上，撕开底层往往能看到原始内容。我见过一个停车场缴费二维码，表面贴了层透明贴纸，撕开后底下是真正的缴费链接，而贴纸上的二维码指向一个伪装成缴费页面的钓鱼站。

技术层面怎么防？安卓手机可以装个能预览链接的扫码工具，扫完先显示完整URL再决定是否打开。iPhone用户用相机扫，长按弹出的链接预览也能看到域名。电脑上更简单，把二维码图片拖进在线解码网站，拿到原始链接后丢进VirusTotal跑一遍。我常用的组合是：二维码解码 + URL扫描 + 手动检查域名注册时间。新注册的域名，尤其是注册不到一个月的，直接放弃。

企业用户更得注意。我接触过一家公司，市场部在展会上收集了一堆二维码印在宣传册上，结果其中一个二维码被供应商替换成了竞品链接。宣传册印了五千份，全部作废。后来他们定了规矩：所有对外二维码必须用动态码，后台可以随时改目标链接，不用重新印刷。

说回开头那个二维码。我没填信息，直接举报给了微信安全中心。两天后收到反馈：该链接已被拦截。但那个域名换个后缀又能用。二维码本身没有善恶，它只是个入口。问题在于，做入口的人有没有把门守好。

下次扫码前，多花三秒钟看一眼链接。三秒钟，可能省掉三小时的麻烦。