你扫的维码那个黑白方块，其实是支付一串字符穿上了迷彩服。付款码也好，维码商户码也罢，支付二维码本身不碰钱，维码它只负责把一串信息从纸上或屏幕上搬进手机里。支付真正动钱的维码事，发生在扫码之后，支付在你看不见的维码服务器之间。

先看二维码里藏了什么。支付微信和支付宝的维码付款码，通常是支付一串18位左右的数字，前面带个前缀，维码比如10、支付11、维码12、13、14、15，分别对应不同场景。商户码则可能是一个URL，指向支付平台的某个接口，后面挂着商户ID和订单号。二维码的编码规则叫Reed-Solomon纠错，哪怕你遮住一角，它也能把信息还原出来。这解释了为什么扫歪了、脏了、反光了，有时候还是能识别。

扫码动作本身不产生交易。手机摄像头拍下二维码，解码出字符串，然后把这个字符串连同你的账户标识、设备信息、地理位置一起打包，通过HTTPS发到支付平台的服务器。服务器拿到这串东西，先判断：这是付款码还是收款码？付款码的话，去查这个码对应哪个用户，再验证你的身份——指纹、人脸、支付密码，取决于你设了什么。验证通过，服务器在你和商户之间做一次账务调整：你的账户余额或绑定的银行卡扣一笔，商户的账户加一笔，中间可能经过网联或银联的清算通道。整个过程，二维码只是触发器，像按了一下门铃。

有个细节容易被忽略：付款码是动态的。你打开微信收付款页面，那串数字和条码每隔几十秒就刷新一次。为什么？防截图。如果有人偷拍你的付款码，等你刷新后，那张截图就失效了。商户扫码枪扫到的是你当前屏幕上的码，服务器验证时还要核对时间戳和一次性令牌。静态的商户码没这个问题，因为它是用来收钱的，不涉及扣款授权。

我见过一个案例。某小超市老板把收款码贴在收银台上，顾客扫完显示付款成功，但老板手机没响。查了半天，发现顾客扫的是旁边另一家店的码——两张码贴得太近，顾客没注意。钱进了别人账户，追回来花了三天。这说明二维码支付里，码的归属确认全靠服务器端的商户ID绑定。扫错码，钱就进错门，平台只能事后协调。

还有一层：离线码。有些地铁闸机支持先乘车后付费，你扫的码可能是在无网络时生成的，手机本地存了一个令牌，闸机记下这个令牌，等联网后再跟服务器结算。这要求令牌有有效期和防重放机制，否则一张码能刷无数次。

整个链条里，最脆弱的是扫码那一瞬间。摄像头对焦、光线、角度，都可能让解码失败。但一旦解码成功，后面的流程反而是高度自动化的。你感觉“滴”一声就付完了，背后是支付平台、银行、清算机构在几百毫秒内跑完的一套协议。二维码只是那根火柴，点着了后面一整条流水线。