餐厅二维码菜单：改菜单内容无需更换二维码地址

菜单二维码在2020年变得普遍，此后一直没有消失。对大多数餐厅来说，二维码由负责网站的人制作一次，此后就再也没人检查——这很重要，因为餐饮业正是这种模式最集中的地方：二维码数量多、扫描量大、印刷物使用时间长，而且利润微薄。

餐厅为什么会按桌收费？

因为按码收费模式遇上了需要大量二维码的生意。一家餐厅有12个桌牌、1张橱窗贴纸和1张外带袋贴纸，就有14个二维码。采用按码计费的动态方案后，这意味着每月14笔费用，而菜单过去只需支付纸张成本。

这种订阅在餐厅场景中也格外难以摆脱。桌牌会覆膜，贴纸会粘牢，菜单最多按季节重新印刷。重新印刷确实是一项工作，因此月费只要明显低于重印成本，商家就会继续支付——这正是定价方式的依据。“免费”二维码的真实成本详细解释了这笔账。

服务商会了解到食客的哪些信息？

每次扫描都会先向服务商发出HTTP请求，然后菜单才会加载。即使没有Cookie或用户同意，服务商也能收到食客的IP地址、时间戳、设备和操作系统，以及首选语言；而且由于每个桌牌都有独立的短链接，服务商还能知道扫描发生在哪张桌子。

汇总起来，这会形成一幅详细的营业图景：每小时接待人数、翻台时间、哪些桌位最繁忙、工作日与周末的差异，以及顾客的语言构成。这确实是关于餐厅运营的有用数据，但它由你的桌牌产生，却被别人收集。

放到服务商的全部客户范围内，情况还不止于此。同一设备指纹反复出现在一座城市的餐厅、商店和场馆中，就能描绘出一个人的活动轨迹。欧盟法院在《Breyer案》（C-582/14）中认定，网站运营者记录的动态IP地址可能属于个人数据。因此，这不是好奇心问题，而是合规问题——在《通用数据保护条例》（GDPR）下，风险通常落在部署该二维码的企业身上。二维码代理会记录什么将详细说明这一点。

实际使用中会出什么问题？

前三种情况其实是同一种故障，只是换了不同的外表：菜单依赖一家不是你的公司。第四种问题与收费无关，但收费模式会让它更糟，因为食客已经习惯看到陌生的短域名，就更难发现恶意域名。

英国国家网络安全中心（NCSC）的评估是，酒吧和餐厅中的二维码通常是安全的，真正需要高度警惕的是通过电子邮件收到的二维码。实体场景中残留的风险就是覆盖贴纸，而应对方法很简单：检查桌牌。

固定版本是什么样的？

点餐和支付二维码怎么办？

这类二维码应与菜单二维码分开讨论，因为风险确实不同，建议也不完全相同。

点餐和支付二维码会把食客带到输入银行卡信息的页面。这会放大本文讨论的每个问题：支付二维码被覆盖贴纸后，会直接导致银行卡诈骗，而不只是造成麻烦；如果扫描者无法从预览中认出你的域名，就没有办法区分你的结账页面和仿冒页面。美国联邦贸易委员会（FTC）关于在正规二维码上覆盖贴纸的警告，针对的正是其他场景中的这种模式，停车缴费机就是典型例子。

由此有两条规则。第一，支付二维码应始终编码你的自有域名或点餐平台的真实域名——绝不能使用通用短链接服务，因为那会拿走食客唯一的验证信号。第二，在二维码旁边用清晰可读的文字印出域名，并按计划检查实体桌牌；这两项成本都很低，也是桌边唯一真正有效的防护。

如果二维码由点餐平台提供，请解码一个，看看载荷中是谁的域名。有些平台会直接编码自己的域名，这没有问题。另一些平台还会在外层加入第三方短链接服务，于是食客与银行卡填写页面之间多了一个未经约定的第三方。

如何切换？

1. 用我们的[读取器](Recognize)解码当前桌牌，看看载荷中是谁的域名。如果不是你的域名，你使用的就是租来的重定向服务。
2. 选择一个稳定的URL——yourrestaurant.com/menu——并确保它不会改变。如果你希望以后可以迁移，就让二维码指向yourrestaurant.com/m，再从那里设置重定向。
3. 生成编码该地址的静态[URL二维码](Url)。
4. 如果需要，可添加按放置位置区分的跟踪参数：?src=table、?src=window、?src=takeaway。这样，你自己的分析工具也能提供控制面板向你出售的按位置统计。
5. 在二维码旁边用清晰可读的文字印出URL，让客人无需扫描也能打开菜单，并能确认二维码属于你。
6. 在下一次正常印刷周期重印，旧桌牌停止使用后再取消订阅。

如果二维码已经失效，食客今天扫描时看到的是升级页面，二维码劫持恢复指南会介绍重印前的紧急处理顺序。

现在就制作替换版本，让它赶上下一轮印刷：URL二维码。背景资料：二维码诈骗的真相。