事情发生得很普通早上到园区门口手机还剩 5% 电量小程序里的通行码死活转圈后面排队的人已经开始咳嗽。那一刻我意识到我每天进出都依赖一个存在于手机小程序里的二维码通行码这个码一旦加载不出来我就只能站在闸机前面尴尬地等。更麻烦的是我们园区的通行码是动态刷新的截图根本没有用。后来我花了几个晚上把这个“园区入口的通行码”复刻了一份让它在我的手机负一屏、手表和一张实体小卡上都能用。这里说的“复刻”不是破解也不是复制别人手里的码而是把我自己已经授权的通行凭证用合理的方式搬到更多设备上尽量减少对单一 APP 的依赖。如果你也被各种动态二维码、门禁码、访客码困扰这篇文章应该能帮你省下不少折腾时间。1. 为什么好好的通行码非要“复刻”一份1.1 从一次“手机没电”开始的折腾我们园区的入口是那种扫码闸机识别二维码后放行。通行码不在实体卡上而是由一个小程序实时生成每次打开都会刷新。使用体验其实还行但弱点也很明显手机一没电、小程序一卡顿人就被堵在闸机外面。那天早上我手机电量告急通行码页面冷启动加载了七八秒还没出来我身后的同事已经开始刷工牌了。保安大哥看着我意思很明确要么让后面的人先过要么我退出去重新进。最后我只能锁屏再开等小程序重新拉取数据。结果就是迟到了几分钟心情也搞得很差。当时的想法很简单我不能让这个“码”完全绑定在一台手机、一个 App 上。如果能把通行码复制到我其他设备上哪怕哪天主力机没电了手表或者实体卡还能顶上。所以“复刻”的本质其实是给自己做一个多端备份而不是去破坏园区的授权机制。1.2 复刻的边界只处理自己的凭证我必须在开头把边界说清楚整个复刻过程我操作的始终是自己名下的通行凭证用于个人设备备份和应急使用。我不复制别人的码不帮别人代刷也不尝试越过园区的授权审核。原因很简单通行码背后连着的是物理场所的安全管理真要出事谁复刻的谁承担责任。而且从技术角度看现在稍微正规一点的通行码系统都有签名、有效期和设备指纹校验不是拿个截图就能蒙混过关的。后面我会具体讲这些机制。你把心思花在“怎么绕过”上大概率是白费力气还可能把自己搞进风险名单。倒不如理解它的工作原理然后用合法的途径提升自己的使用体验。2. 把二维码内容拆开看二维码里到底有什么2.1 用扫码工具解出URL与Token复刻的第一步不是急着截图而是先搞明白二维码里装的是什么。很多通行码看上去是个花花绿绿的方块但本质上是一段文本通常是 URL 或者 JSON 格式的数据。我用手机把通行码页面截图后用草料二维码这类工具尝试识别结果会解出一串类似这样的内容https://pass.example.com/verify?clientwxuid39821expire1718563200signa1b2c3d4这串内容一般包含几个关键信息client表示客户端类型比如微信小程序、企业微信、App 等。uid当前账号的唯一标识也就是你的身份 ID。expire一个 Unix 时间戳告诉闸机这个码什么时候过期。sign服务端用密钥计算出的签名防止有人篡改前面的参数。有的系统还会把关键信息做一次 Base64 编码或 URL 编码看起来是乱码但解出来结构差不多。只要你能把这串文本解出来就相当于拿到了这个码的“说明书”。2.2 动态刷新的关键Expire参数与签名我们园区通行码最坑的一点就是动态刷新。为什么截图没用因为二维码里的expire参数决定了它的存活时间通常只有几分钟甚至更短。过了这个时间闸机扫码后一校验时间戳发现已经过期就直接拒绝放行。可能有人会想那我手动把expire改成明天不就行了答案是不行。因为还有个sign签名。签名通常是由服务端持有密钥对uid、expire等参数计算出来的一个哈希值。你改了expire签名就对不上了。闸机服务端拿着同样的密钥重新算一遍发现签名不匹配直接判断这个二维码是伪造的。打个比方二维码就像一张电影票expire是场次时间签名是票面上的防伪码。你可以把场次时间改成今晚但防伪码是影院系统生成的你自己改出来的码在验票机上过不了。2.3 为什么直接截图总是失败弄清楚签名机制以后再回头看“截图复刻”的做法就很容易理解它失败的原因了。静态截图只保留了你截图那一瞬间的状态一旦expire过期这张图就成了废纸。如果园区用的是一次性码也就是刷过一次立即失效那更惨截图可能连第二次使用都撑不到。我见过有些朋友的通行码是长期有效的比如访客预约码可能一周内都有效。这种情况下截图确实能用但也只适合有效期固定、不经常刷新的场景。对于日常通勤的动态码单纯截图没有任何意义。所以在动手复刻之前先确认自己的码到底是静态还是动态这是最关键的判断。3. 复刻方案选型静态副本还是动态中转3.1 静态复制方案的适用范围如果确认你的通行码有效期比较长比如一周、一个月或者闸机后台只校验用户 ID不校验时间戳那么“静态副本”就是最简单省事的方案。静态副本的做法说白了就是拿到一张当前有效的二维码原图保存到相册、手表、平板或者直接打印出来。我身边有人把小区门禁二维码打印成一张小卡放在手机壳里进出直接抽出来扫用了大半年都没问题。这个方案的好处是零成本、零依赖不需要任何脚本和服务器。缺点是它不适合动态码而且一旦通行码被更新实体卡和相册里的旧图会全部失效。你需要在失效之前重新制作一份否则临到门口才发现刷不了比没有复刻更尴尬。3.2 动态复刻方案的三个门槛对于我这种动态码用户只有静态副本是不够的必须走“动态中转”路线。所谓动态中转就是让某个脚本或工具定期去拉取一张新的有效二维码然后推送到我需要展示的设备上。做之前先确认三个门槛缺一个都可能白忙刷新接口可用。小程序里的二维码不会凭空产生它背后一定有一个接口。你得能拿到这个接口的地址并且能用自己的身份重新请求。如果接口做了复杂的登录态校验这一步就会比较麻烦。本地不能改签名。你只能原样使用服务端返回的二维码内容不能尝试自己伪造参数。这既是因为签名算法拿不到也是没必要冒这个风险。服务端不做严格的设备绑定。有些系统会把二维码和当前设备绑定你在第二个设备上刷新可能会导致第一个设备上的码失效。这种情况就需要权衡一下到底哪个设备是“主用”。我在实际测试时发现我们园区的通行码接口不算复杂返回的是 JSON里面有图片地址和过期时间。这就让我可以用自动化脚本去定时刷新。如果你的接口有滑块验证、短信验证码或设备指纹那基本只能放弃动态中转乖乖用官方小程序。4. 完整实操把通行码复刻到手机、手表和实体卡片4.1 第一步拿到原始可用的二维码文件不管做什么复刻第一步都是拿到原始二维码文件。这里我试过三种方式方式一小程序自带保存功能。部分通行码页面会提供“保存到相册”或者“分享给好友”的按钮前提是服务端允许。如果你打开页面后发现长按图片能识别、或者页面右上角有下载选项优先用它。这是官方给出的出口最干净也最不容易踩坑。方式二电脑端打开小程序后截图。园区通行码如果能在电脑微信里打开我会直接右键点击二维码图片选择保存。这里要注意时间点动态码的话必须选在刚刷新后保存否则存下来的都是过期内容。方式三网络抓包获取真实图片地址。这是最通用的方式。我用代理工具把手机流量引导到电脑上观察在小程序打开通行码页面的瞬间抓到一个返回二维码图片地址的请求。这个方法稍后我会单独讲它不一定适合所有人但理解原理很有帮助。拿到二维码图片后记得先自己扫码验证一下确认状态是有效的再进入下一步。4.2 第二步在手机/手表上离线展示有了有效二维码原图多端展示就简单了。iPhone 用户可以先把图片存到相册并“收藏”然后在负一屏添加“图片”小组件选择对应图片。也可以创建一个快捷指令固定把某张最新图片作为小组件内容。这样锁屏向左一滑就能看到码不用打开小程序。我自己是把存放二维码的相册文件夹固定在负一屏实测刷闸机时响应速度比开小程序快很多。Android 用户更简单很多手机支持桌面小组件直接放图片。长按桌面添加“图片”小组件选择码图即可。部分安卓机还支持把图片固定到锁屏界面效果类似。手表上的做法也共享同一张图。Apple Watch 用户可以在“照片”App 里把二维码图片设为收藏然后在 iPhone 的 Watch App 里开启“照片表盘”。抬腕亮屏后二维码直接显示在表盘上。要注意的是手表屏幕小二维码需要放大到足够尺寸否则闸机摄像头识别率会明显下降。我的经验是至少占到表盘中央 2/3 的显示区域。4.3 第三步做一张打印“实体通行卡”把二维码变成实体卡是给手机彻底没电准备的最后防线。我试过普通打印机 普通 A4 纸也试过 PVC 卡片打印总结下来有几个关键点。二维码打印尺寸不能太小。我的闸机摄像头距离大概半米识别效果最好的二维码边长在 2.5 到 3.5 厘米之间太小的码在远距离会有识别困难。打印必须保留四周留白。二维码三个角落有定位方角如果打印时裁切得太贴近图形或者纸张有折痕会导致扫码器找不到定位标记。建议在二维码四周至少留出 1 厘米以上的白边。纸张材质选哑光。我第一次用光面铜版纸打印结果太阳光一照整个二维码表面一道反光带闸机摄像头很难识别。换成哑光纸或者普通打印纸以后识别率明显提升。如果要过塑也尽量选择哑面冷裱膜而不是亮面热封膜。实体卡做好后建议不要在潮湿环境里放太久普通纸受潮会变形二维码跟着扭曲识别率就崩了。5. 动态码自动刷新快捷指令与脚本的接入5.1 分析刷新接口的请求链路如果你的通行码是动态的那就需要让复刻出来的副本也能跟着刷新。第一步要先找到二维码生成接口。我使用的是常见的抓包方式在电脑上启动抓包工具手机设置代理后让小程序流量经过电脑。然后在小程序里手动打开通行码页面观察网络请求列表找到名字里带verify、pass、qrcode之类关键词的请求。点开看返回内容如果里面直接包含二维码图片地址或者 Base64 编码的图片数据那这个接口基本就是我们要找的。这里必须强调抓包只针对自己手机发起的请求目的是理解小程序怎么取回我自己的通行码不是去拿别人的数据。而且遇到返回字段看不懂时我不会去逆向什么算法只取服务端已经生成好的二维码图片原样使用。5.2 用iPhone快捷指令实现到点刷新找到接口后最简单的自动化工具是 iPhone 自带的快捷指令。你可以创建这样一个流程获取URL填入接口地址如果接口需要 POST则在获取URL内容里设置方法为 POST。获取URL内容把接口返回的内容存为变量。从输入获取词典解析 JSON取出二维码图片地址字段。获取URL内容请求图片地址得到图片数据。存储到相簿保存到指定相册。然后用快捷指令的“自动化”功能设置一个时间段循环触发比如每 5 分钟运行一次。我实际用下来发现套路可行但有两个注意点。接口如果带了自定义请求头比如Authorization: Bearer xxxx快捷指令需要在获取URL内容里手动加上这些 Headers否则请求大概率失败。另外快捷指令不能后台静默运行太久如果刷新时间到了但手机正在被占用可能不会执行。所以我最终的稳定方案是把刷新脚本放到一台常开的旧电脑或 NAS 上让它定时把最新二维码图片推送到 iCloud 相册再通过相册小组件展示。5.3 刷新频率与缓存时间的平衡动态二维码通常有个有效期我的做法是让刷新任务在有效期结束前 1 到 2 分钟完成。为什么留这个余量因为二维码其实从生成到最后扫码之间还有个网络传输、图片同步、闸机识别的时间差。如果掐着最后一秒刷新很可能码还没同步到所有设备上就过期了。把刷新频率设置得太快也没有好处。我曾经为了测试把频率调到每 20 秒一次结果当天下午就被后台判定为异常访问接口临时返回了一个验证请求最后还是人工点了一下才恢复。合理的做法是参考码的有效期把刷新间隔设成“有效期的一半”左右。比如通行码 5 分钟过期就每 2 到 3 分钟刷新一次如果 15 分钟过期每 5 分钟刷新一次就够了。如果你发现接口每次刷新还要带验证码、还要人机校验那就不要挣扎了说明服务端已经做了比较严格的反自动化措施。最稳妥的办法还是回到官方小程序入口。6. 我踩过的坑和几个值得注意的细节6.1 截屏被检测二维码被作废我第一次想复刻的时候直接在小程序里截图结果打开相册一看截下来的是一张黑屏或者带水印的图片。部分园区通行码小程序开启了防截屏策略截屏操作会被系统拦截甚至会在截图里写入用户标识。这种水印平时看不出来但一旦你把截图拿去打印或者转发后台可以根据水印追踪到最初截图的账号。遇到这种情况我建议直接放弃截图复制改用官方保存或抓包方式。如果官方保存按钮都没有那就是系统设计上就不希望用户脱离小程序使用硬来只会增加风控风险。6.2 复制到别的设备后原码有时失效我最初做动态中转时在备用手机上刷新了通行码结果回到主力机一看原来的码刷不出来了。原因是我用的接口内部做了会话互踢机制同一个账号在 A 设备刷新后B 设备上旧的 token 立即失效。这就带来一个很现实的问题动态复刻不等于“多设备同时可用”而是“多设备轮番可用”。如果你需要同时刷两台设备进门那基本没戏除非园区官方支持同一账号多端在线。我的解决方案是只在主力机和手表之间轮换使用手表主要承担应急角色真正进门还是主力机为主。6.3 哪些复刻方式不建议尝试说实话这类“复刻通行码”的话题很容易往歪路上跑我也看到有人教通过修改参数绕过有效期、复制他人二维码等等这些我都不建议。首先二维码里的签名是服务端用密钥计算的你就算改了参数也过不了闸机校验纯粹浪费时间。其次微信小程序里的通行码页面多数带有设备标识与用户身份关联你把别人的码复制过来后台一比对身份信息就能发现异常。最尴尬的情况是你以为自己复刻了“万能通行码”结果不仅没进门还把原账号锁了。遇到这种需求我真实的建议是优先看园区有没有官方副卡、家人授权、同行码之类功能。我见过不少园区其实已经支持开通副码或临时通行证只是没有主动宣传。官方通道才是最省事的复刻。踩过几次坑之后我现在的习惯是每周一早上花一分钟在负一屏小组件里手动确认一下通行码还是不是最新的然后该干嘛干嘛。复刻这个事技术难度真不高最有价值的部分是搞清楚“码为什么会失效”。只要弄懂了有效期、签名和会话机制你就知道哪些能复刻、哪些不能碰。顺带一提把二维码固定在桌面小组件以后我进门再也不用解锁手机找小程序了这体验比复刻本身还值得。