二维码简单说：就是借助二维码生成和识别技术，在商户收银设备、用户手机之间传递交易必要的参数。这是我们首先要理解的。
发起支付：无论是买方、卖方，首先通过支付APP或者收银系统向支付平台服务器请求发起一笔支付；
生成支付参数：服务器把支付相关的参数通过二维码图片返回给发起方；
交换支付参数：发起方向对方展示二维码；
核实支付参数：对方APP或收银设备扫码后，通过支付平台服务器确认该支付的参数、细节；
确认支付：随后双方用某种方式表示认可支付；
完成：支付平台服务器端完成支付动作，返回信息。
现在我们看到的主流二维码支付本质上是一种点对点的在线交易，而实际的应用场景多见于线下支付，也就是所谓的O2O；所以我们常见的几种在线交易的风险都仍然会存在，但具体的表现形式和风险出现的情况会有所不同。
账户风险
这种风险在依托手机为主体的二维码支付的场景下，会降低很多。手机支付的第一个步骤是授权。在这个阶段，会通过支付密码、手机短信、身份信息和隐私信息等等验证之后，将设备和支付账号做一层绑定。在这种风控逻辑的设定下，你的账户被盗了，如果想通过扫码来支付，那就意味着要同时获取上述信息。一般的拖库造成的账号密码泄漏无法通过首次支付的授权。所以二维码支付对于单纯的拖库和单一的账号密码被盗来说相对更为安全。
钓鱼风险
A，结果支付的是B。对于这个问题，扫码的风险会相对较大一些。传统的在线支付中我们通常就比较容易比对网址是不是官方网站来做判断，而我们无法通过比对二维码是不是官方二维码来验证支付安全性。另外加之商户的名称大多数都不是你所熟悉的标识名（比如美团的订单，扫完了会发现付款对方是北京三快在线科技有限公司），就更加不容易判断买的东西是不是自己要的那个。但回过头来说，像微信这样的线下的当面支付，这种概率会小的多，在商家店内，商家会维护好自己的二维码不被轻易的做替换，如果商家的收款二维码是逐笔生成的，那么风险程度就会进一步的降低。
设备风险设备
Apple Pay的讨论里我们其实也可以看到，设备丢失的风险，需要有一个不依赖于账户体系本身的验证方式来做验证（手机短信、密码仍然是账户体系本身的一部分）。苹果的方案是指纹。对于支付公司来说，人脸识别、声音识别等生物技术的附加验证方式，一定会是未来的方向。
其他基站劫持
PC在线支付都会出现的问题，警惕性还是得有。
移动支付代理零合作加V信ab64787