二维码门票成本最低、发放最快，也最容易被误解。不少人以为把码印得密一点、加个花纹就算防伪，实际上一张码能不能防住，取决于码外面的三件事：核销规则、有效期机制和断网兜底。

一码一用是底线

静态二维码的本质是一串文本，复制一次就是无数份。要让它只生效一次，就得在核销那一步做成不可逆：验票即置为已使用，同一个码第二次请求直接拒绝，并把通道、时间、操作人员一起记进流水。不少系统只做到"记录检过一次"，还允许把状态改回未使用——能反悔重用的核销，等于没有核销。真要留补救口子，就只在后台留一条带原因的撤销记录，而不是在闸机上放行。

静态码和动态码要分清场景

静态码从被截图的那一刻起就不再受控。动态码每分钟换一次、码里带时间戳签名，能挡掉截图转发，代价是持票人必须在线打开页面，核销端还要保证服务器时间一致。我们的做法是按凭证类型分：年卡、会员、多次入场这类长期凭证一律用动态码；单次、当天有效的票用静态码就够了，没必要为了显得先进把所有人都推去刷新页面。

闸机侧真正影响体验的是异常处理

现场堵队的原因往往不是防伪弱，而是识别慢、失败没有出口。屏幕亮度不足、贴膜反光、雨天水珠、老人把手机举得很远——识别都要在几百毫秒内给出结果。所以系统要提前留三条兜底路径：反光和低光下的算法准备；扫码失败时能改用身份证或订单号人工核验；网络中断时闸机本地缓存当时段票池，先放行再补传核销记录。这三条看着像硬件的事，其实全是票务系统接口设计要预留的位置。

别把防伪做成门槛

码越难刷，误伤的客人越多，窗口解释成本越高。真正稳定的做法是把三件事做扎实：核销不可逆、动态码只用在该用的地方、异常路径有明确的人工出口。防伪的收益来自规则闭环，而不是来自图案本身的复杂度。