早上赶地铁，手机掏出来打开App准备查公交，结果发现账号没登录。这时候弹出一个二维码，旁边写着“扫码登录”。你可能已经习惯了这个操作，但有没有想过，这背后到底是怎么做到的？
扫码登录不是拍照传图那么简单
很多人以为扫码就是把二维码拍下来传给服务器比对，其实没这么简单。当你在电脑上打开某个网站的登录页面，系统会生成一个唯一的临时二维码。这个码里不包含你的账号密码，而是一个随机的会话ID，比如 login_20241015_x9k3m。
你的手机App打开扫一扫功能，识别到这个ID后，会立刻向服务器查询：“这个ID对应的登录请求还在不在？”如果在，服务器就告诉你：“可以确认，是否登录？”你点一下“确认”，手机就把自己的身份凭证发过去，电脑端马上就能登录成功。
为什么比输账号密码更安全
传统输入密码的方式，万一网站被仿冒，你输进去的密码可能就被偷了。而扫码登录不同，二维码本身没有密码信息，过期时间也特别短，通常30秒就失效。就算有人截图拿到这个码，等他想用的时候早就作废了。
而且整个过程中，真正的身份验证是在你自己的手机上完成的。手机本身就是你的身份证明，相当于你说“我信这台设备”，而不是反复输入一串容易被窃取的文字密码。
家里老人总问：扫的是什么码
有些长辈看到二维码就担心是病毒链接。其实这类登录二维码都是内网协议，格式通常是 otpauth://login?token=xxx 这样的专用地址，不会跳转到网页，也不会自动下载东西。只要是从正规App扫的，基本不用担心安全问题。
你可以教他们一个小技巧：只要是登录自己常用的平台，比如微信、支付宝、淘宝这些，出现扫码选项，直接扫就行。如果是陌生页面跳出二维码要求扫描，那才需要警惕。
断网还能不能扫码登录
不能。扫码登录依赖服务器中转信息，手机和电脑都得联网。不过有些App做了优化，比如微信，在扫码确认后会通过加密通道快速同步登录状态，所以即使你扫完马上切飞行模式，电脑端可能已经登上了。
但首次扫码时必须双方在线。服务器就像个中间人，手机说“我要帮这个设备登录”，电脑说“我等着呢”，两边都连上服务器，才能完成配对。
技术上是怎么保持同步的
服务器会为每个二维码建立一个短暂的等待队列。可以用类似下面的逻辑来理解：
等待队列["login_20241015_x9k3m"] = {
状态: "等待扫码",
创建时间: 1728901234,
过期时间: 1728901264
}
手机扫到ID后，更新状态为“已扫码，等待确认”；你点击确认后，状态变成“已授权”；电脑端轮询检查这个状态变化，一旦发现就拉取令牌完成登录。整个过程就像两个人约好暗号，在同一个公告板上看消息。