大多数人扫描二维码后会盲目跳转到任何位置——不加任何质疑。这种盲目信任正是攻击者所期待的。任何企业现在都可以部署一项具体的防御措施：让二维码的目标URL在页面加载前显示出来，即URL预览。这听起来很小，但它给扫描者一个暂停和验证的机会——这一刻足以阻止钓鱼企图。
二维码环境中URL预览的真实含义
URL预览是指在扫描者的浏览器承诺加载页面之前，向其显示完整目标地址的任何机制。实践中主要有三种方式：
- 原生相机应用 — iOS和Android都会在相机对准二维码时显示一个小横幅，展示目标URL。无需安装应用。此预览通常在大多数用户点击前出现一到两秒钟。
- 短链接预览页面 — 某些URL缩短服务会插入一个中间页面，显示目标URL、域名，有时还会显示页面截图，然后才转向目标。
- 登陆页面URL披露 — 你自己的跳转页面在"继续"按钮前以清晰的、人类可读的方式显示最终URL。
每一层都把URL放在扫描者眼前。URL越清楚地显示为你品牌的域名，你的受众就越安全。
为什么原生相机横幅还不够
原生预览横幅很有用，但容易被忽视。它只出现很短的时间，通常只显示顶级域名，一旦手指靠近屏幕就消失了。攻击者深知这一点。他们注册看起来相似的域名——用小写"l"替换"1"，或使用不同的顶级域名——这些在两秒钟的匆匆一瞥中容易被忽过。
仅依赖原生横幅意味着你无法控制扫描者看到的内容。如果你的二维码包含缩短的URL（例如通用的bit.ly链接），横幅只会显示那个——而不是你的实际目标。扫描者无法验证他们看不到的东西。
如何让目标URL清晰易读且值得信赖
直接嵌入你的品牌域名
最有效的单一步骤是直接在二维码中编码你自己的域名，而不是第三方缩短服务。当有人的相机显示yourbrand.com/menu而不是bit.ly/3xYz9q时，他们可以立即验证。这就是为什么在你自己的域名上构建动态二维码值得额外的简单设置成本——你同时控制短域名和重定向目标。
使用品牌短域名
如果由于印刷限制需要短URL，请注册一个品牌短域名（例如ybrand.co），并将其专门用于你的二维码。你的IT提供商或域名注册商可以在一小时内设置好。这样可以在URL预览中保持你的品牌可见性，并防止与攻击者可能冒充的第三方缩短器混淆。
在高风险环境中添加中间预览页面
在你的二维码将被技术水平较低的受众扫描的环境中——医疗候诊室、政府办公室、金融服务柜台——考虑添加一个简单的中间跳转页面。该页面显示：
- 你的徽标和品牌名称
- 可读文本形式的完整目标URL
- 关于链接指向何处的简短说明
- 显著的"继续"按钮
这增加一次点击，这是很小的摩擦成本。它建立的信任足以弥补这一成本，特别是当扫描的材料涉及支付或表单提交等敏感操作时。
保持重定向链短且可审计
重定向链中的每一个额外跳转都是扫描者永远看不到的另一个URL。通过三个服务进行重定向的二维码在达到你的网站之前，每个中间URL都暴露为潜在的钓鱼插入点。关于二维码重定向链安全风险的详细内容有详细说明，但简短的规则是：最多保持一个重定向，并按月审计该重定向。
URL预览页面中应包含的内容
如果你构建自己的中间页面，保持最小化和快速：
| 元素 | 目的 |
|---|---|
| 品牌徽标 | 确认来源身份 |
| 完整目标URL（非缩短形式） | 让扫描者验证域名 |
| 一句关于目标的说明 | 减少不确定性 |
| "继续"/"取消"按钮 | 给扫描者选择权 |
| 页面加载时间不超过1秒 | 防止用户流失 |
避免嵌入广告、弹出窗口或任何遮挡目标URL的内容。这个页面的唯一工作是提供清晰性。
向你的受众传达预览
即使技术上完善的预览，如果扫描者不知道要查找它们，也会失败。在印刷材料中二维码附近添加一行说明：
"转向前会显示预览页面。继续前确认你看到[yourbrand.com]。"
这会引导用户在预览处暂停，而不是习惯性地点击通过。这也表明你重视他们的安全——对于在忠诚度计划、支付或账户访问中广泛使用二维码的企业来说，这是一个有意义的信任信号。
对于在多个物理位置广泛使用二维码的企业，Super QR Code Generator等工具让你能从一个仪表板控制目标URL和重定向行为，使得审计和更新链接变得更容易，无需重新打印材料。
URL预览特别关键的时刻
并非每个二维码都承载相同风险。当你的二维码在以下情况时，优先考虑URL预览措施：
- 链接到支付页面或结账流程
- 请求登录凭据或个人数据
- 出现在公开可访问的空间（交通、餐厅、活动）中，容易被篡改
- 通过印刷传单分发，在到达扫描者前离开你的控制
你每天控制的桌面上的菜单二维码风险较低。在贸易展上分发并在几周后扫描的传单风险较高。相应地调整你的预览投入。
了解如何检测物理二维码上的篡改也很值得——URL预览在数字层保护扫描者，但物理贴纸替换是一个需要自己对策的独立攻击向量。
关键要点
- 原生相机URL横幅是第一道防线，但不是完整防线——它很短暂且将缩短的URL显示为不透明字符串。
- 直接在二维码中编码你自己品牌的域名是给扫描者最清晰的信任信号。
- 包含你的徽标、完整目标URL和"继续"按钮的中间预览页面在高风险环境中增加了有意义的保护。
- 将重定向链保持在一个跳转，如果需要URL压缩则使用品牌短域名，并按月审计重定向目标。
- 二维码附近的一行说明引导用户验证预览，而不是习惯性地点击通过。