最近有不少酒店和宾馆的老板在问：现在流行的动态二维码锁，到底安全不安全？用二维码开门，会不会被人破解或者复制？今天我们把动态二维码锁的安全性问题，从头到尾剖析一遍，帮你做决策。
一、动态二维码和静态二维码，安全性差别很大
1.1 静态二维码的问题：容易被复制和传播
有些低成本的二维码锁方案，是在门上贴一个静态二维码，这个二维码长期不变。客人扫了之后，跳到一个网页或者小程序，输入密码或者验证身份之后开门。
这个方案的最大问题是：这个二维码是公开的，谁都能扫。如果有人把二维码拍照分享给别人，别人也能尝试开门。虽然一般有密码保护，但密码如果设置得简单，或者被截获，就有安全风险。
所以静态二维码方案，一般只适合低安全要求的场景，比如小区的大门、公司的前台门，这些场所本来就是公开进出的。但对于酒店房间、私人空间，静态二维码的安全性是不够的。
1.2 动态二维码的原理：定时刷新，一次一变
动态二维码锁，锁上有一个显示屏，上面显示的二维码是定时刷新的，比如每30秒变一次。这个二维码里包含了时间信息、设备信息、随机因子，每次都不一样。
用户扫了动态二维码之后，请求发到云平台，平台验证二维码的有效性（是不是过期的？是不是被篡改的？），同时通过其他手段验证用户身份（比如微信登录、手机号验证），都通过了才发送开门指令。
这个方案的安全性比静态二维码高很多，因为即使有人拍照了你的二维码，30秒之后这个码就失效了，他用不了。
1.3 动态二维码锁的通信加密：这个是关键
动态二维码锁的安全性，不仅仅取决于二维码是不是动态刷新，还取决于通信过程是不是加密的。
正规的厂家，二维码锁和云平台之间的通信，一般都是用AES或者RSA加密的，别人截获了通信数据，也解不开。但如果厂家做得不正规，通信是明文的，那就有被窃听和攻击的风险。
所以采购动态二维码锁的时候，要问清楚厂家的通信加密方式，并且最好能让厂家提供安全检测报告，证明他们的系统是经过安全测试的。
二、动态二维码锁可能的安全风险有哪些
2.1 云平台被攻击的风险
动态二维码锁的核心是可云平台，如果云平台的安防做得不好，被黑客攻击了，可能会出现以下几种情况：
第一种：黑客获取了开门权限，能远程开你所有的锁。这个情况很严重，但如果厂家的平台设计得好，开门指令是要经过多重验证的，即使平台被攻破，黑客也不一定能直接开门。
第二种：黑客获取了用户数据，包括用户的手机号、开房记录这些隐私信息。这个风险是存在的，所以选厂家的时候，要选有正规资质、有隐私保护政策的。
第三种：平台宕机，所有锁都开不了门。这个不是安全问题，但是可用性问题。正规厂家会有备用服务器和容灾方案，确保平台不会因为单点故障就全瘫痪了。
2.2 二维码被截屏或者录屏的风险
动态二维码是定时刷新的，所以被拍照或者截屏之后，只有很短的有效期。但如果有人在你扫码的瞬间，用高清摄像头录下了你的二维码，然后快速用自己的手机扫这个码，理论上是可能开门的。
这个风险怎么防范？正规的动态二维码锁系统，一般会做"一次有效"的设计：同一个二维码，扫了一次之后就失效了，即使别人截屏了也用不了第二次。
采购的时候要问清楚：这个系统有没有"一次有效"的防重放机制？如果没有，那这个系统的安全性要打个问号。
2.3 手机被入侵或者账号被盗的风险
动态二维码锁的开门，一般是要通过手机操作的。如果用户的手机被入侵了，或者用户的微信/支付宝账号被盗了，别人就可能用他的账号来开门。
这个风险不是二维码锁本身的问题，而是用户账号安全的问题。但正规的二维码锁系统，会设计多重验证：比如开门的时候要求输入支付密码，或者要求人脸识别，增加安全性。
三、酒店和宾馆用二维码开门，靠谱吗？
3.1 从安全角度看：动态二维码锁可以用，但要选正规厂家
从上面的分析来看，动态二维码锁不是不能用，但它的安全性取决于厂家的技术实力：动态二维码刷新机制、通信加密、云平台安防、防重放机制，这些都要做得到位。
对于酒店和宾馆来说，客人的人身安全和财物安全是第一位的，所以在选二维码锁的时候，一定要选有正规资质、有安全检测报告、有完善售后服务的厂家，不要选便宜的小厂产品。
常州创安智能科技有限公司在给酒店客户推荐二维码锁的时候，只会选技术实力强、安全记录好的厂家合作，不会为了成本妥协安全性。
3.2 从用户体验看：二维码开门对年轻人友好，但对所有人不一定
二维码开门的好处是不需要带房卡，对年轻人来说比较方便。但对于年纪大一点的客人，或者不太会用智能手机的客人，二维码开门可能反而增加了麻烦。
所以酒店如果要用二维码开门，建议保留刷卡开门的备用方案：锁同时支持刷卡和扫码，客人可以选自己方便的方式。
3.3 从管理效率看：二维码开门可以减少前台工作量
二维码开门对酒店管理效率的提升还是有帮助的：客人可以在线办理入住，到店后自己扫码开门，不需要到前台领房卡，可以减少前台的排队压力。
但这个功能需要酒店有完整的在线入住系统支持，不是只装一把二维码锁就能实现的。所以如果酒店想上二维码开门，一般要配套做在线入住系统，这个投入会更大一些。
四、采购动态二维码锁的安全检查清单
4.1 厂家的资质和案例：有没有做过类似项目？
采购动态二维码锁的时候，第一要查厂家的资质：有没有安防资质？有没有软件著作权？有没有过往的项目案例？
特别是项目案例，要找和他们合作过的酒店聊一聊，看看实际用下来安全性怎么样、有没有出过安全事故、厂家的售后响应及不及时。
4.2 系统的安全设计：有没有加密、有没有防重放、有没有备用方案？
前面我们提到了几个关键的安全设计，采购的时候要逐一确认：
通信是不是加密的？用什么加密算法？
二维码是不是动态刷新的？刷新频率是多少？
有没有防重放机制？同一个二维码能不能扫第二次？
有没有备用开门方案？网络断了或者云平台宕机了怎么办？
这些问题都要问清楚，并且最好要有书面说明，不能只听厂家口头承诺。
4.3 合同的免责和质保条款：出了问题谁负责？
动态二维码锁涉及到网络安全，如果真的出了安全事故（比如客人财物被盗、或者客人的隐私数据泄露），责任怎么划分？这个要在合同里写清楚。
正规厂家会提供质量保证，并且在合同里明确：如果是因为系统安全漏洞导致的问题，厂家要承担赔偿责任。
如果厂家不愿意在合同里写这些条款，那说明他们对自己的产品安全性没有信心，建议不要采购。
五、总结：动态二维码锁的安全使用建议
把上面这些内容梳理一下，动态二维码锁的安全使用，核心建议是：
第一，选正规厂家，看资质、看案例、看安全检测报告，不要只看价格。
第二，确认系统的安全设计：动态二维码、通信加密、防重放机制、备用开门方案，这些都要有。
第三，酒店和宾馆如果要上二维码开门，建议保留刷卡开门的备用方案，兼顾安全性和用户体验。
第四，合同里要写清楚安全责任条款，不要只看厂家的口头承诺。
如果你正在考虑为你的酒店或者宾馆上二维码开门系统，欢迎和常州创安智能交流。我们在智能门锁和门禁系统这块有多年经验，可以帮你评估方案的安全性和可行性，让你选得放心、用得安心。
