你扫的每一个二维码，都是在盲签一份合同。亲身体验 QRLjacking 攻击，看看「扫一下」能有多危险。
QRLjacking = QR Code Login Jacking，劫持二维码登录。微信网页版、WhatsApp Web、Discord 等「扫码登录」都可能被利用。
整个过程受害者只做了一个动作：扫码。没输密码、没点额外确认，双因素认证完全无效——因为是你自己亲手「授权」的。
下面模拟一次完整的 QRLjacking 攻击。你扮演受害者，亲身走一遍流程。
模拟某网站在 PC 端展示「扫码登录」二维码。点击按钮生成。
用手机浏览器（或任何扫码工具）扫描上方二维码。扫完会打开一个确认页面。
没手机在身边？也可以点击下方按钮模拟扫码：
等待扫码结果…
两个二维码外观几乎一样。一个指向正规网站，一个指向钓鱼站。你能选对吗？
二维码不只是 URL。点击查看各种危险 payload，了解每种的风险。
任何扫码器扫完后都会预览 URL，不要无脑点确认。检查域名是否为官方。
正规登录码有效期很短（通常 1~2 分钟）。如果码是别人转给你的，很可能是过期再生成的攻击码。
WiFi 连接不需要扫码登录第三方、红包不需要授权账号。场景对不上就不要扫。
开启「异地登录提醒」，一旦有人通过扫码登录你的账号，立刻收到通知并踢下线。
看看已经有多少人体验了这个演示。