先区分四类风险
截图可能在票主到场前被他人使用，转发可能是主动共享，复制码可能来自恶意售卖，重复入园也可能由闸机超时和网络重试造成。不同风险需要不同控制，不能把所有失败都归为游客欺诈。
风险评估要考虑票值、可转让政策、实名要求、景区网络和入园速度。低价值开放景区可用签名静态码配合中心状态，高风险演出或热门时段可采用动态码和实名核验；控制强度应与实际风险相称。
凭证应可验证、短时且不暴露订单信息
动态二维码只携带随机票凭证、签名和短期有效信息，不直接展示证件号、手机号或完整订单。服务端验证签名、有效期、适用景区与状态，前端动画和颜色只能辅助识别，不能作为安全依据。
静态码可采用不可预测的高熵标识并在线查状态；若需要离线验签，则使用非对称签名、短有效期和密钥轮换。密钥不写入页面、代码仓库或普通配置，闸机设备获得受限公钥或受控凭据。
中心核销必须是原子且幂等的
闸机提交票凭证、设备、通道、时间与唯一请求号，中心在同一事务中检查状态并写入核销，成功后返回确定的核销事件号。相同请求重发返回同一结果，其他设备再次使用则显示已核销时间与处置建议。
不能先查询“可用”再单独改状态，否则两个通道可能同时放行。超时也不能直接判定失败，设备应按请求号查询最终结果。撤销核销通过新事件实现并审批，不删除原记录。
实名校验只在必要范围内使用
实名票可在购票时绑定证件，入园通过证件原件、局部信息或授权核验确认。工作人员界面只显示完成判断所需字段，避免完整证件号长期暴露。儿童、境外游客和证件遗失要有人工替代路径。
人脸属于敏感个人信息，不能因防转发就默认强制采集。采用人脸时评估必要性、告知处理规则、取得相应同意并提供非人脸方式。日志只记录核验结果和必要审计信息，不无限期保存原始照片。
断网模式要在安全与通行之间取舍
可预先下发指定日期、通道和票种的签名凭证或最小名单，设备本地保存已核销集合并限制有效期。恢复网络后补传事件，中心检测跨设备冲突。多个入口长期彼此离线时无法完全阻止同票复制，应明确风险上限。
断网启用、名单导出、人工放行和冲突处理都需授权与日志。若风险超过可接受范围，可切换身份证核验、手持机联网或人工窗口，而不是无限制开放闸机。恒山公开采购中的手持移动检票也说明无网无电应有补充手段。
反爬售票与入园防伪协同
限购、预约、支付风控和异常账号能减少批量囤票，但不应误伤正常家庭和团队。验证码、设备指纹或频率限制需说明目的和保存期限。退票后立即失效凭证，改期生成新权益，旧码不能恢复可用。
客服与闸机界面提供清晰原因码：未到时间、已核销、已退款、风险拦截或网络未知。工作人员按原因选择等待、查订单、证件核验或升级处理，避免简单拍照放行造成新的复制凭证。
用攻击脚本而非正常扫码验收
同时在两台闸机扫描同一截图，测试过期动态码、修改码、退款票、换日票、网络超时重试、设备时间错误和断网补传。确认只有符合规则的事件放行，重复请求不重复扣次，所有人工操作可追溯。
安全测试结果要结合通行效率观察。若动态码刷新过快导致弱网游客频繁失败，应调整有效窗或提供替代核验。任何方案只能降低风险，不能宣称零盗用或百分之百防截图。
密钥和设备是容易忽略的薄弱点
即使二维码算法合理，闸机使用默认口令、共享账号或泄露的签名密钥仍会使控制失效。设备入场时登记序列号、固件、证书和安装位置，生产凭据单独下发；维修、更换或报废时撤销身份并清除缓存。
服务端对异常设备、短时间大量失败、同票跨地扫描和时间漂移告警。远程维护通过受控通道，操作有审批与回放；供应商不能要求把生产密钥放入群聊或普通邮件作为排障方式。
定期轮换密钥前先验证双版本兼容，避免全部闸机同时失效。轮换、证书过期和设备时钟也纳入演练，安全措施只有在日常运维可执行时才有效。
常见问题 FAQ
网页禁止截图有用吗？
只能增加部分操作成本，无法阻止另一台设备拍摄或系统级截屏，核心仍是凭证时效、签名和中心核销状态。
动态二维码多久刷新一次合适？
取决于网络、排队与风险，需用真实手机和闸机测试；刷新周期不能短到正常游客来不及展示。
静态二维码一定不安全吗？
不一定。不可预测的静态凭证配合中心原子核销可防重复使用，但对提前转发的识别能力弱于动态码或实名核验。
断网时能完全防重复吗？
多入口彼此离线时无法完全消除，应通过限时授权、本地已核销集合和恢复后冲突复核控制风险。
参考来源与事实边界
- 1. 中央网信办：《中华人民共和国个人信息保护法》
- 2. 中央网信办、公安部：《人脸识别技术应用安全管理办法》
- 3. 中国政府网：《网络数据安全管理条例》
- 4. 北京市公共资源交易服务平台：景区统一预约购票服务平台支撑项目招标公告
- 5. 全国标准信息公共服务平台：GB/T 30225-2013《旅游景区数字化应用规范》