企业官网建设流程全解析

事情发生得很普通：早上到园区门口，手机还剩 5% 电量，小程序里的通行码死活转圈，后面排队的人已经开始咳嗽。那一刻我意识到，我每天进出都依赖一个存在于手机小程序里的二维码通行码，这个码一旦加载不出来，我就只能站在闸机前面尴尬地等。更麻烦的是，我们园区的通行码是动态刷新的，截图根本没有用。

后来我花了几个晚上，把这个“园区入口的通行码”复刻了一份，让它在我的手机负一屏、手表和一张实体小卡上都能用。这里说的“复刻”不是破解，也不是复制别人手里的码，而是把我自己已经授权的通行凭证，用合理的方式搬到更多设备上，尽量减少对单一 APP 的依赖。如果你也被各种动态二维码、门禁码、访客码困扰，这篇文章应该能帮你省下不少折腾时间。

1. 为什么好好的通行码非要“复刻”一份

1.1 从一次“手机没电”开始的折腾

我们园区的入口是那种扫码闸机，识别二维码后放行。通行码不在实体卡上，而是由一个小程序实时生成，每次打开都会刷新。使用体验其实还行，但弱点也很明显：手机一没电、小程序一卡顿，人就被堵在闸机外面。

那天早上我手机电量告急，通行码页面冷启动加载了七八秒还没出来，我身后的同事已经开始刷工牌了。保安大哥看着我，意思很明确：要么让后面的人先过，要么我退出去重新进。最后我只能锁屏再开，等小程序重新拉取数据。结果就是迟到了几分钟，心情也搞得很差。

当时的想法很简单：我不能让这个“码”完全绑定在一台手机、一个 App 上。如果能把通行码复制到我其他设备上，哪怕哪天主力机没电了，手表或者实体卡还能顶上。所以“复刻”的本质，其实是给自己做一个多端备份，而不是去破坏园区的授权机制。

1.2 复刻的边界：只处理自己的凭证

我必须在开头把边界说清楚：整个复刻过程，我操作的始终是自己名下的通行凭证，用于个人设备备份和应急使用。我不复制别人的码，不帮别人代刷，也不尝试越过园区的授权审核。原因很简单，通行码背后连着的是物理场所的安全管理，真要出事，谁复刻的谁承担责任。

而且从技术角度看，现在稍微正规一点的通行码系统都有签名、有效期和设备指纹校验，不是拿个截图就能蒙混过关的。后面我会具体讲这些机制。你把心思花在“怎么绕过”上，大概率是白费力气，还可能把自己搞进风险名单。倒不如理解它的工作原理，然后用合法的途径提升自己的使用体验。

2. 把二维码内容拆开看：二维码里到底有什么

2.1 用扫码工具解出URL与Token

复刻的第一步不是急着截图，而是先搞明白二维码里装的是什么。很多通行码看上去是个花花绿绿的方块，但本质上是一段文本，通常是 URL 或者 JSON 格式的数据。

我用手机把通行码页面截图后，用草料二维码这类工具尝试识别，结果会解出一串类似这样的内容：

https://pass.example.com/verify?client=wx&uid=39821&expire=1718563200&sign=a1b2c3d4

这串内容一般包含几个关键信息：

• client：表示客户端类型，比如微信小程序、企业微信、App 等。
• uid：当前账号的唯一标识，也就是你的身份 ID。
• expire：一个 Unix 时间戳，告诉闸机这个码什么时候过期。
• sign：服务端用密钥计算出的签名，防止有人篡改前面的参数。

有的系统还会把关键信息做一次 Base64 编码或 URL 编码，看起来是乱码，但解出来结构差不多。只要你能把这串文本解出来，就相当于拿到了这个码的“说明书”。

2.2 动态刷新的关键：Expire参数与签名

我们园区通行码最坑的一点，就是动态刷新。为什么截图没用？因为二维码里的expire参数决定了它的存活时间，通常只有几分钟甚至更短。过了这个时间，闸机扫码后一校验时间戳，发现已经过期，就直接拒绝放行。

可能有人会想：那我手动把expire改成明天不就行了？答案是不行。因为还有个sign签名。签名通常是由服务端持有密钥，对uid、expire等参数计算出来的一个哈希值。你改了expire，签名就对不上了。闸机服务端拿着同样的密钥重新算一遍，发现签名不匹配，直接判断这个二维码是伪造的。

打个比方：二维码就像一张电影票，expire是场次时间，签名是票面上的防伪码。你可以把场次时间改成今晚，但防伪码是影院系统生成的，你自己改出来的码在验票机上过不了。

2.3 为什么直接截图总是失败

弄清楚签名机制以后，再回头看“截图复刻”的做法，就很容易理解它失败的原因了。静态截图只保留了你截图那一瞬间的状态，一旦expire过期，这张图就成了废纸。如果园区用的是一次性码，也就是刷过一次立即失效，那更惨，截图可能连第二次使用都撑不到。

我见过有些朋友的通行码是长期有效的，比如访客预约码，可能一周内都有效。这种情况下截图确实能用，但也只适合有效期固定、不经常刷新的场景。对于日常通勤的动态码，单纯截图没有任何意义。所以在动手复刻之前，先确认自己的码到底是静态还是动态，这是最关键的判断。

3. 复刻方案选型：静态副本还是动态中转

3.1 静态复制方案的适用范围

如果确认你的通行码有效期比较长，比如一周、一个月，或者闸机后台只校验用户 ID，不校验时间戳，那么“静态副本”就是最简单省事的方案。

静态副本的做法说白了就是：拿到一张当前有效的二维码原图，保存到相册、手表、平板，或者直接打印出来。我身边有人把小区门禁二维码打印成一张小卡，放在手机壳里，进出直接抽出来扫，用了大半年都没问题。

这个方案的好处是零成本、零依赖，不需要任何脚本和服务器。缺点是它不适合动态码，而且一旦通行码被更新，实体卡和相册里的旧图会全部失效。你需要在失效之前重新制作一份，否则临到门口才发现刷不了，比没有复刻更尴尬。

3.2 动态复刻方案的三个门槛

对于我这种动态码用户，只有静态副本是不够的，必须走“动态中转”路线。所谓动态中转，就是让某个脚本或工具定期去拉取一张新的有效二维码，然后推送到我需要展示的设备上。做之前先确认三个门槛，缺一个都可能白忙：

• 刷新接口可用。小程序里的二维码不会凭空产生，它背后一定有一个接口。你得能拿到这个接口的地址，并且能用自己的身份重新请求。如果接口做了复杂的登录态校验，这一步就会比较麻烦。
• 本地不能改签名。你只能原样使用服务端返回的二维码内容，不能尝试自己伪造参数。这既是因为签名算法拿不到，也是没必要冒这个风险。
• 服务端不做严格的设备绑定。有些系统会把二维码和当前设备绑定，你在第二个设备上刷新，可能会导致第一个设备上的码失效。这种情况就需要权衡一下，到底哪个设备是“主用”。

我在实际测试时发现，我们园区的通行码接口不算复杂，返回的是 JSON，里面有图片地址和过期时间。这就让我可以用自动化脚本去定时刷新。如果你的接口有滑块验证、短信验证码或设备指纹，那基本只能放弃动态中转，乖乖用官方小程序。

4. 完整实操：把通行码复刻到手机、手表和实体卡片

4.1 第一步：拿到原始可用的二维码文件

不管做什么复刻，第一步都是拿到原始二维码文件。这里我试过三种方式：

方式一：小程序自带保存功能。部分通行码页面会提供“保存到相册”或者“分享给好友”的按钮，前提是服务端允许。如果你打开页面后发现长按图片能识别、或者页面右上角有下载选项，优先用它。这是官方给出的出口，最干净也最不容易踩坑。

方式二：电脑端打开小程序后截图。园区通行码如果能在电脑微信里打开，我会直接右键点击二维码图片，选择保存。这里要注意时间点，动态码的话必须选在刚刷新后保存，否则存下来的都是过期内容。

方式三：网络抓包获取真实图片地址。这是最通用的方式。我用代理工具把手机流量引导到电脑上观察，在小程序打开通行码页面的瞬间，抓到一个返回二维码图片地址的请求。这个方法稍后我会单独讲，它不一定适合所有人，但理解原理很有帮助。

拿到二维码图片后，记得先自己扫码验证一下，确认状态是有效的，再进入下一步。

4.2 第二步：在手机/手表上离线展示

有了有效二维码原图，多端展示就简单了。

iPhone 用户可以先把图片存到相册并“收藏”，然后在负一屏添加“图片”小组件，选择对应图片。也可以创建一个快捷指令，固定把某张最新图片作为小组件内容。这样锁屏向左一滑就能看到码，不用打开小程序。我自己是把存放二维码的相册文件夹固定在负一屏，实测刷闸机时响应速度比开小程序快很多。

Android 用户更简单，很多手机支持桌面小组件直接放图片。长按桌面，添加“图片”小组件，选择码图即可。部分安卓机还支持把图片固定到锁屏界面，效果类似。

手表上的做法也共享同一张图。Apple Watch 用户可以在“照片”App 里把二维码图片设为收藏，然后在 iPhone 的 Watch App 里开启“照片表盘”。抬腕亮屏后，二维码直接显示在表盘上。要注意的是手表屏幕小，二维码需要放大到足够尺寸，否则闸机摄像头识别率会明显下降。我的经验是至少占到表盘中央 2/3 的显示区域。

4.3 第三步：做一张打印“实体通行卡”

把二维码变成实体卡，是给手机彻底没电准备的最后防线。我试过普通打印机 + 普通 A4 纸，也试过 PVC 卡片打印，总结下来有几个关键点。

二维码打印尺寸不能太小。我的闸机摄像头距离大概半米，识别效果最好的二维码边长在 2.5 到 3.5 厘米之间，太小的码在远距离会有识别困难。

打印必须保留四周留白。二维码三个角落有定位方角，如果打印时裁切得太贴近图形，或者纸张有折痕，会导致扫码器找不到定位标记。建议在二维码四周至少留出 1 厘米以上的白边。

纸张材质选哑光。我第一次用光面铜版纸打印，结果太阳光一照，整个二维码表面一道反光带，闸机摄像头很难识别。换成哑光纸或者普通打印纸以后，识别率明显提升。如果要过塑，也尽量选择哑面冷裱膜，而不是亮面热封膜。

实体卡做好后建议不要在潮湿环境里放太久，普通纸受潮会变形，二维码跟着扭曲，识别率就崩了。

5. 动态码自动刷新：快捷指令与脚本的接入

5.1 分析刷新接口的请求链路

如果你的通行码是动态的，那就需要让复刻出来的副本也能跟着刷新。第一步要先找到二维码生成接口。

我使用的是常见的抓包方式：在电脑上启动抓包工具，手机设置代理后，让小程序流量经过电脑。然后在小程序里手动打开通行码页面，观察网络请求列表，找到名字里带verify、pass、qrcode之类关键词的请求。点开看返回内容，如果里面直接包含二维码图片地址或者 Base64 编码的图片数据，那这个接口基本就是我们要找的。

这里必须强调：抓包只针对自己手机发起的请求，目的是理解小程序怎么取回我自己的通行码，不是去拿别人的数据。而且遇到返回字段看不懂时，我不会去逆向什么算法，只取服务端已经生成好的二维码图片，原样使用。

5.2 用iPhone快捷指令实现到点刷新

找到接口后，最简单的自动化工具是 iPhone 自带的快捷指令。你可以创建这样一个流程：

1. 获取URL：填入接口地址（如果接口需要 POST，则在获取URL内容里设置方法为 POST）。
2. 获取URL内容：把接口返回的内容存为变量。
3. 从输入获取词典：解析 JSON，取出二维码图片地址字段。
4. 获取URL内容：请求图片地址，得到图片数据。
5. 存储到相簿：保存到指定相册。

然后用快捷指令的“自动化”功能，设置一个时间段循环触发，比如每 5 分钟运行一次。我实际用下来发现套路可行，但有两个注意点。

接口如果带了自定义请求头，比如Authorization: Bearer xxxx，快捷指令需要在获取URL内容里手动加上这些 Headers，否则请求大概率失败。另外快捷指令不能后台静默运行太久，如果刷新时间到了但手机正在被占用，可能不会执行。所以我最终的稳定方案是：把刷新脚本放到一台常开的旧电脑或 NAS 上，让它定时把最新二维码图片推送到 iCloud 相册，再通过相册小组件展示。

5.3 刷新频率与缓存时间的平衡

动态二维码通常有个有效期，我的做法是让刷新任务在有效期结束前 1 到 2 分钟完成。为什么留这个余量？因为二维码其实从生成到最后扫码之间还有个网络传输、图片同步、闸机识别的时间差。如果掐着最后一秒刷新，很可能码还没同步到所有设备上就过期了。

把刷新频率设置得太快也没有好处。我曾经为了测试把频率调到每 20 秒一次，结果当天下午就被后台判定为异常访问，接口临时返回了一个验证请求，最后还是人工点了一下才恢复。合理的做法是参考码的有效期，把刷新间隔设成“有效期的一半”左右。比如通行码 5 分钟过期，就每 2 到 3 分钟刷新一次；如果 15 分钟过期，每 5 分钟刷新一次就够了。

如果你发现接口每次刷新还要带验证码、还要人机校验，那就不要挣扎了，说明服务端已经做了比较严格的反自动化措施。最稳妥的办法还是回到官方小程序入口。

6. 我踩过的坑和几个值得注意的细节

6.1 截屏被检测，二维码被作废

我第一次想复刻的时候，直接在小程序里截图，结果打开相册一看，截下来的是一张黑屏或者带水印的图片。部分园区通行码小程序开启了防截屏策略，截屏操作会被系统拦截，甚至会在截图里写入用户标识。这种水印平时看不出来，但一旦你把截图拿去打印或者转发，后台可以根据水印追踪到最初截图的账号。

遇到这种情况，我建议直接放弃截图复制，改用官方保存或抓包方式。如果官方保存按钮都没有，那就是系统设计上就不希望用户脱离小程序使用，硬来只会增加风控风险。

6.2 复制到别的设备后，原码有时失效

我最初做动态中转时，在备用手机上刷新了通行码，结果回到主力机一看，原来的码刷不出来了。原因是我用的接口内部做了会话互踢机制：同一个账号在 A 设备刷新后，B 设备上旧的 token 立即失效。

这就带来一个很现实的问题：动态复刻不等于“多设备同时可用”，而是“多设备轮番可用”。如果你需要同时刷两台设备进门，那基本没戏，除非园区官方支持同一账号多端在线。我的解决方案是只在主力机和手表之间轮换使用，手表主要承担应急角色，真正进门还是主力机为主。

6.3 哪些复刻方式不建议尝试

说实话，这类“复刻通行码”的话题很容易往歪路上跑，我也看到有人教通过修改参数绕过有效期、复制他人二维码等等，这些我都不建议。

首先，二维码里的签名是服务端用密钥计算的，你就算改了参数也过不了闸机校验，纯粹浪费时间。其次，微信小程序里的通行码页面多数带有设备标识与用户身份关联，你把别人的码复制过来，后台一比对身份信息就能发现异常。最尴尬的情况是，你以为自己复刻了“万能通行码”，结果不仅没进门，还把原账号锁了。

遇到这种需求，我真实的建议是：优先看园区有没有官方副卡、家人授权、同行码之类功能。我见过不少园区其实已经支持开通副码或临时通行证，只是没有主动宣传。官方通道才是最省事的复刻。

踩过几次坑之后，我现在的习惯是：每周一早上花一分钟，在负一屏小组件里手动确认一下通行码还是不是最新的，然后该干嘛干嘛。复刻这个事，技术难度真不高，最有价值的部分是搞清楚“码为什么会失效”。只要弄懂了有效期、签名和会话机制，你就知道哪些能复刻、哪些不能碰。顺带一提，把二维码固定在桌面小组件以后，我进门再也不用解锁手机找小程序了，这体验比复刻本身还值得。