T，安全类型
WPA、WPA2、WPA3、WEP 或 nopass（开放式）。WEP 已被破解，现代手机可能拒绝连接。nopass 表示网络为开放式，链路层无加密。
标准 · Wi-Fi 凭据 QR
这个 Wi-Fi QR 码安全吗？
Wi-Fi QR 码会将您的手机连接到代码中指定的任意网络，并拥有完整的网络访问权限。在咖啡馆、酒店和机场，这是最容易被恶意双胞胎攻击利用的 QR 类型。
格式说明
该标准为 WIFI: URI 方案，最初由 ZXing 项目引入并被 Wi-Fi 联盟采用。完整载荷格式如下：
WIFI:T:WPA2;S:CafeWiFi;P:hunter2;H:false;;
字段是以分号分隔的键值对。每部现代智能手机都能原生解读此格式；扫描后设备会提示您加入网络，而不会先显示密码。
对于 WPA2-Enterprise（企业或校园 Wi-Fi），格式扩展了三个字段：E（EAP 方法）、I（身份）和 PH2（第二阶段方法）。
逐字段说明
S，SSID（网络名称）
连接后您手机显示的网络名称。最重要的字段，连接前请仔细核对。
P，密码
WPA 类网络的预共享密钥，nopass 时不存在。
H，隐藏网络
true 表示网络不广播其 SSID。隐藏网络需要设备主动探测，这会暴露设备曾连接过哪些网络。
E，EAP 方法（企业）
适用于 WPA2/3-Enterprise 网络：PEAP、TLS、TTLS、PWD。
I，身份（企业）
您在企业网络上的用户名，部分场所会在此编码访客身份。
A，匿名身份（企业）
EAP 握手期间可见的外部身份，用于保护真实用户名隐私。
PH2，第二阶段方法（企业）
对于 TTLS / PEAP：内隧道身份验证方法，通常为 MSCHAPV2。
恶意双胞胎攻击
攻击步骤：
- 攻击者在目标场所附近架设一个 Wi-Fi 路由器（或开启热点的手机）。
- 他们将 SSID 配置为与场所网络相同或相似：
Starbucks_WiFi_2、FREE_AIRPORT_WIFI、HotelGuests_5G。 - 他们为该伪造网络打印一个 QR 码，并贴在看似合理的地方——餐巾纸架下方、真实贴纸旁边或厕所门上。
- 您扫描后，手机加入他们的热点。攻击者将您的流量代理到真实互联网，同时拦截或修改内容。
现代应用使用 HTTPS，因此凭据和内容已加密。但是：
- SNI 会泄露您访问的网站（如不使用加密客户端问候则更严重，但大多数设备尚未启用）。
- 除非使用 DoH / DoT，否则通过攻击者网络的 DNS 请求会暴露您的查询记录。
- 出于任何原因回退到 HTTP 的应用（旧 API、证书固定漏洞）将以明文传输数据。
- 攻击者可以提供伪造的强制门户页面，诱导您输入本不应提交的凭据。
我们的扫描器会标记看起来像高度仿冒目标的 SSID——知名品牌名称（星巴克、希尔顿、机场名称等）以及字符级欺骗（零/О替换O、同形字）。
我们的扫描器显示什么
将 Wi-Fi QR（图片、粘贴或摄像头）放入我们的扫描器，检测结果显示：
- 网络（SSID），仔细阅读并与场所宣传的进行比对。
- 安全类型，WPA2 / WPA3 / WEP / 开放。开放或 WEP 网络会收到警告。
- 密码，点击显示（敏感字段），适合添加到密码管理器。
- 隐藏标志，是 / 否。
- EAP 方法 + 身份 + 第二阶段，适用于企业网络，有助于 IT 核实。
- SSID 或密码中嵌入的 URL，部分攻击者在这些字段中塞入钓鱼链接。
扫描器在您的浏览器中运行；只有解码后的文本会到达我们的服务器进行威胁分析。密码和 EAP 凭据不会被记录。
点击连接前请确认
- SSID 是否与场所宣传的完全一致？ 外观相似的名称（多一个空格、大小写不同或使用同形字）是常见陷阱。
- 安全类型是否为 WPA2 或 WPA3？ 开放和 WEP 网络本身并不安全，如有可能请避免使用。
- 如果是企业网络，IT 部门是否告知您会有这个 QR 码？企业 Wi-Fi QR 码应由 IT 正式分发，而不是贴在墙上。
- 您是否正在使用移动数据？ 如果是，可以考虑直接使用移动数据，尤其是在进行敏感操作时。
- 场所是否定期更换密码？ 许多咖啡馆将密码印在固定海报上，这意味着旧密码永远不会失效。
相关内容
检测 Wi-Fi QR 码
拖入 QR 图片、粘贴 WIFI: 字符串或使用摄像头。检测结果显示网络名称、安全类型、密码（点击显示）以及企业 EAP 详情。