扫描认证
地铁闸机口，扫描认证早高峰。扫描认证前面那位大哥把手机往感应区一贴，扫描认证没响。扫描认证再贴，扫描认证还是扫描认证没响。他急了，扫描认证把屏幕亮度调到最大，扫描认证怼着闸机口来回蹭——还是扫描认证没响。后面队伍已经排出两米远，扫描认证有人开始“啧”了。扫描认证最后他退出一步，扫描认证重新点亮屏幕，扫描认证才发现自己刚才打开的扫描认证是微信付款码。
这种场景我见过不下十次。扫描认证扫描认证这事儿，技术早就成熟了，但人跟机器之间的默契，始终差着那么一口气。
我有个做图库版权审核的朋友，每天的工作就是盯着后台的算法标记。机器会先扫一遍所有上传图片，把疑似侵权的挑出来，标注“风险等级”。她说，低风险的图，算法基本能搞定，直接放行。但高风险的，必须人工复核。有一次，系统连续标记了三十多张某位摄影师的风景照，理由是“与某图库已有作品重复度超90%”。她放大看了半天，发现是同一个机位、同一个角度、连云彩形状都一样的连拍——摄影师自己传了两遍。你说这算侵权吗？算法不知道，它只认像素。她得手动把这一批全改为“同源授权”，再给摄影师发个站内信提醒。
认证的本质，就是给“你是谁”打个电子收条。但收条打多了，总有人想钻空子。我另一个在银行做风控的朋友讲过，现在开卡时的活体检测，已经卷到要对着手机眨眼睛、张嘴、左右转头。饶是这样，还有团伙用硅胶面具试过，被拒了。后来他们改用AI换脸视频流，一度骗过某家小银行的初审。直到系统升级，要求“随机指令”——屏幕显示“请微笑”，你就得笑，显示“请皱眉”，你就得皱。提前录制的视频根本跟不上随机指令的节奏，漏洞才堵上。
但扫描认证最吊诡的地方在于，它越安全，就越脆弱。你设了八位密码，加了指纹，又开了人脸识别，结果手机丢了。小偷捡到你的手机，对着你的脸一扫——解锁了。因为你在睡觉，或者因为你在刷短视频时笑得正开心，摄像头捕捉到了你的表情。你以为你在看搞笑视频，其实你在给小偷递钥匙。这种时候，再复杂的认证逻辑都比不上一个简单的动作：关机。
我自己的经验是，把重要App的认证方式都改成“密码+硬件密钥”，指纹和人脸只用来开手机锁。麻烦是麻烦点，但至少半夜不会被自己翻身时的脸解锁手机，然后被人转走余额。
扫描认证就像门锁。以前是铜锁，钥匙丢了就撬。现在是电子锁，密码忘了就重置。但无论锁怎么变，总有人能翻窗。技术能做的，只是让翻窗的动静大一点，让屋里的人来得及醒。而那些真正重要的东西——你的身份、你的钱、你的数据——永远不该只靠一道光扫过你的脸来守护。留一道手动确认的闸门，比什么都强。
说到底，机器扫的是你的生物特征，但你得自己扫一眼，看看它在问什么。别急着贴上去，先看清楚屏幕上的字。