你以为是广告，其实是探针：这种“二维码海报”看似简单，背后却是你点一下，它能记住你的设备指纹
走近地铁站、商场或街头，一张张二维码海报看起来亲切、方便：扫一扫领券、点单、跳转到活动页。很多人以为那只是把你带到一个网页，实际上，许多二维码背后藏着比链接更多的功能——它们能在你“点一下”后悄悄采集并保存设备指纹，把你的设备特征化为可追踪的ID。
这一招怎么实现的？
- 唯一短链或带参数的URL：海报上的二维码通常编码的是一个带唯一标识的短域名或带参数的链接（例如：https://t.example/AbC123）。服务器从第一次访问就把这个唯一ID和随后采集到的各种信息绑定。
- 服务器日志与HTTP头：访问请求本身就暴露IP、User-Agent、Accept-Language、TLS指纹等，不需额外权限就能采集大量线索。
- 浏览器端脚本收集信息：跳转后加载的轻量页面可能包含JavaScript，用来收集屏幕分辨率、设备像素比、已安装字体（通过测量渲染差异）、Canvas与WebGL指纹、时区、语言、是否支持触摸、可用内存与CPU线程数、媒体设备信息等。把这些特征组合起来，就形成相对稳定的“指纹”。
- 本地存储与cookie：服务器或脚本会创建本地cookie、localStorage或IndexedDB条目，以便下次识别同一设备。即便cookie被清除，指纹信息仍能提高再次识别的概率。
- 重定向与第三方追踪：二维码先访问一个中转域名，再跳到广告主页面，第三方域名可以在多处投放中统一识别用户，实现跨场景追踪。
- 深度链接与App打开：在有的场景，二维码会触发应用跳转（Universal Link、Android Intent）。如果用户在App中登录，线上身份与先前采集的指纹可能被关联，从而实现去匿名化。
这么做能得到什么？
- 广告效果分析：明确某个海报带来的流量、转化率。
- 行为画像与定向：把线下曝光与线上行为挂钩，用于更精细的用户画像或再营销。
- 跨设备关联：通过指纹或后续登录把同一个人的不同设备行为关联起来。
风险有哪些？
- 隐私泄露与去匿名化：当指纹与登录信息或购买记录结合，原本“匿名”的轨迹能变成人可识别的画像。
- 长期追踪：即便清理cookie，指纹技术仍能延续识别。
- 欺诈与滥用：敏感场景下（比如金融、医疗）被关联后可能导致风险放大。
普通用户能怎么做？（实用建议）
- 扫码前看清链接：大多数手机相机会显示链接预览，先看域名再决定是否打开。
- 复制链接并检查：在不信任的场景下，用复制粘贴到记事本或浏览器地址栏查看全称，避免盲点开短链。
- 用隐私浏览或无痕模式：这样能减少cookie与历史留存。
- 屏蔽脚本或使用隐私插件：在可控设备上可用脚本拦截工具（如uBlock/NoScript类）减少指纹采集，但移动端受限。
- 使用VPN或代理：能隐藏真实IP并降低某些识别手段的精确度。
- 避免在陌生链接中登录敏感账户：登录会把指纹与真实身份直接关联。
- 选择可信的扫码工具：一些扫码应用直接把链接传给内置WebView并自动打开，优先使用能显示URL并允许你决定是否继续的工具。
对商家与运营者的建议（如果你是二维码发起方）
- 透明说明用途：在海报或落地页明确告知会收集哪些信息并给出隐私选项。
- 最小化采集：只收集实现业务目标所需的数据，避免长期留存不必要的识别信息。
- 提供撤回与删除途径：让用户可以请求删除与其设备或短链关联的数据。
- 使用安全与合规做法：遵守当地隐私法律与最佳实践，避免过度追踪引起信任危机。
最后一句话 二维码本身是便捷的桥梁，但当它连接到带有追踪逻辑的后端时，就成了数据采集的入口。多一点警觉、几步简单的防护，能让日常扫码既方便又不那么容易被“记住”。