SimSmsBox 一句话回答： 扫码登录让你在一台设备（通常是电脑）上，用另一台你已登录的设备（通常是手机）上的 App 扫一个二维码来登录。手机充当可信钥匙：扫码证明你掌控它，于是电脑不用输密码就登录了。它快、且在新设备上免密码——但它的安全上限就是你的手机，而扫一个来源不可信的二维码可能很危险。
你在消息类 App 上见过它，如今网站上也越来越多：一个方形二维码写着「扫码登录」。不用输密码，不用读验证码——把手机一对准就进去了。近乎魔法，但机制其实直白；搞懂它，就能明白它为何方便、风险又在哪。
一、扫码登录到底怎么运作
流程把你的手机当作一台已受信任的设备：
- 网站（在你电脑上）显示一个包含唯一、短时效令牌的二维码。
- 你打开手机上的 App——你已在那登录——扫它。
- 你的手机把那个令牌连同它已认证的会话发给服务。
- 服务匹配令牌、确认你手机的身份，把电脑登录进去。
实际上，你已登录的手机在为新设备作保。二维码只是把一个一次性令牌在两块屏幕间传递的便利方式。
二、服务为什么用它
扫码登录解决了真实的摩擦，尤其在输入不便的地方：
| 好处 | 为什么要紧 |
|---|---|
| 新设备上免密码 | 在共用电脑上没东西可输、可泄 |
| 快 | 一次扫码 vs 密码 + 2FA 码 |
| 把访问系在可信手机上 | 手机就是「拥有」类因子 |
| 适合电视/自助机 | 键盘难用的场合 |
它本质上是基于「拥有」的登录：掌控手机就是凭证，精神上类似通行密钥，只是用二维码来交接。
三、安全上的取舍
扫码登录很方便，但信任全押在你的手机上——以及你扫的是什么：
- 手机就是钥匙： 若它解锁着、落到别人手里，登录也就落到别人手里。
- 二维码钓鱼（quishing）： 攻击者骗你扫一个授权他会话、而非你会话的码——是真实存在的骗局套路。只扫「真站点在你掌控的设备上显示」的登录二维码。
- 会话劫持风险： 因为手机批准的是一整个会话，请把「扫码请求」和「批准登录」同等对待——绝不因别人的提示去做。
规则和其他验证建议一致：只完成你自己发起的登录，并对任何别人让你扫的二维码保持怀疑。
四、如果你用在线号码收码，这意味着什么
扫码登录是设备对设备的交接——没有东西发往手机号——所以纯扫码流程里没有在线短信号码的位置。如果一个服务只提供扫码登录，在线收码对那一步不适用。
但大多数服务仍会在扫码之外提供短信码通道——用于设置、新账号，或作兜底。那条短信码，正是在线号码能完成的、基于手机号的选项，就像你无 SIM 卡在线收码时那样。扫码处理可信设备上的回访登录；短信处理基于号码的验证。
常见问题
Q：扫码登录安全吗？ 安全——当你扫的是「真服务在你自己设备上显示」的码。风险是「quishing」——被骗去扫一个授权攻击者会话的码。绝不扫来源不可信的登录二维码。
Q：如果有人拿到我手机会怎样？ 因为你的手机是可信钥匙，一部解锁的手机落到别人手里就能批准扫码登录。用强密码或生物识别把它锁好。
Q：用扫码登录还需要密码吗？ 在你扫进去的那台设备上不需要——手机替你作保。你需要在手机上处于登录状态，而那通常在某个时点用过密码或通行密钥。
小结
扫码登录用你已受信任的手机、通过扫一个一次性令牌来为新设备作保——快、免密码、系在你掌控的设备上。它的安全全在于你的手机、以及「只扫真码」，而基于号码的验证仍走短信，那是在线号码能收到的。