Telegram 应用内二维码扫描器：即时相机识别、网页链接与直接登录

Telegram 内置二维码扫描器能识别个人、群组、网址和登录请求四类二维码。本文说明每种码的后果、如何识别最危险的登录码，以及扫码前如何核对网址域名，避免账号被盗。

内容导读

Telegram 内部有一个二维码扫描器，就在搜索框旁边。把它对准一个二维码，它就能判断出这是哪种码：一个人、一个群组、一个网址，还是一个登录请求。

最后这一种，正是本页被归入安全而非便利类别的原因。

相机在 Telegram 内部打开，因此它识别到的内容无需经过浏览器中转即可处理。

一个方块，可能是四种不同的东西

每个二维码看起来都一样。图案本身只是文本，而这段文本决定了你即将打开聊天、加入群组、访问网站还是授权登录——四种结果，后果天差地别，而光看外表一个都看不出来。

在 Telegram 内部扫描对此稍有帮助，因为应用能判断出它识别到的是哪一种，并显示相应的界面，而不是直接把你丢进浏览器。个人资料码会变成个人资料；邀请码会变成一个你可以先查看再加入的群组。

它做不到的是告诉你二维码背后的东西是否值得访问，而且值得记住：印刷出来的二维码是日常生活中最难验证的东西。任何人拿一张贴纸就能盖住海报、停车标志或餐桌上的那个码，而替换后的码看起来毫无破绽。

绝不要扫描别人给你看的登录码 登录码是一台电脑发出的、请求登录某个账号的指令。扫描一位友善陌生人笔记本电脑上的登录码，或扫描别人以图片形式发给你的登录码，就等于把你的账号的一个可用会话交到对方手里——这是本平台上最有效的账号盗取手段。只扫描你手中设备上显示的登录码。

对比

一模一样的方块。差别只在你已经把相机对准之后才会显现。

	会发生什么	你会交出什么	要检查什么
某人的个人资料	对方的个人资料打开，由你决定是否给他发消息	什么都不交。扫描是单向的——在你主动发消息之前，对方对你一无所知。	只需确认名字与眼前这个人相符。这是最安全的一端。
群组或频道邀请	聊天预览，并附有加入选项	加入之前什么都不交——加入之后，你的账号就对管理它的人可见了。	该群组是否与海报上宣称的一致。印刷出来的码往往比它宣传的东西活得更久。
一个网址	页面在 Telegram 内置浏览器中打开	你随后在页面里输入的任何内容，这正是值得放慢速度的地方。	在你动手之前先看域名。二维码就是隐藏了地址的链接，这正是它被用于诈骗的原因。
一个登录请求	某台设备登录了你的账号	一切。一个会话能读取你的全部聊天记录，并能以你的身份行事。	显示这个码的屏幕是你自己的。如果是别人生成的这个码，那么扫描它就没有任何安全的版本。

其中三种不会让你付出任何代价。第四种会让你失去账号，而它们看起来一模一样。

当二维码被识别为网址时，最有用的时刻是你与页面交互之前的那一刻。看地址栏里的域名，从末尾往前读——第一个单斜杠紧前面的那部分才是你实际所在的网站，而它左边的一切都可以被伪造成任何内容。

这一点在二维码上比在链接上更重要，因为没有任何文字可供你起疑。消息里的链接至少还能让你看到点东西；二维码只给你一个图案，而等到页面加载完成时，它已经获得了最佳的说服机会。

最容易出问题的地方是支付。餐桌、停车计时器、发票、快递通知上的二维码——全都很容易被一张贴纸替换，而替换后的码会把你带到一个看起来正确、并会收取银行卡信息的页面。凡是涉及金钱，自己手动输入地址只需十秒钟，却能彻底消除这一整类攻击。

密码管理器是诚实的信号 已保存的登录信息只会在它当初保存时对应的域名上提示填充，所以在以假乱真的钓鱼页面上它会保持沉默。在应用自带的浏览器里，这种帮助往往缺失，这正是把任何你要登录的内容放到真正的浏览器里打开的好理由。