一张贴纸打败一台机器：二维码到底是什么

所属：第一部分 · 为什么会有另一套东西（第 1–2 章） 前置：第 1 章（受理成本、受理缺口、双边市场的两侧成本） 本章新概念：商户出示码、消费者出示码、静态码与动态码、EMVCo 二维码规范、码贴纸替换欺诈、形态与轨道的区分

一、上一章留下的问题¶

上一章留下的是一个缺口。

卡靠三个前提跑起来，其中商户那一侧最贵。贵的不是那台 POS 机的塑料外壳，而是让一个商户变成「被认证过的商户」的那套流程：签收单协议、做尽职调查、拿商户编号、接受结算周期、承担拒付责任。硬件会降价，这套流程不会。所以一天流水二十万印尼卢比的菜摊，永远等不到那个来装机的销售。

上一章最后问了两个问题：一个不需要机器、不需要商户被认证的收款方式长什么样；它把成本转移到哪里去了。

这一章回答这两个问题。先把结论摆在前面：那个东西是一张印在纸上的图案，它把商户侧的硬件成本压到了打印一张纸的钱，代价是把成本挪到了三个新的地方——消费者的手机、一套必须永远在线的中心账本、以及付款人身上新增的一类欺诈。

成本没有消失，它换了地方，也换了承担的人。这一章的主线就是追这笔成本。

二、它 1994 年就有了，本来跟付款没关系¶

二维码不是支付行业的发明。

1994 年，日本电装（Denso Wave）的原昌宏带着团队做出了 QR 码。要解决的问题很具体：汽车零件在产线上流动，条形码存不下足够的信息，工人还得把零件摆成特定角度才扫得到。他们要的是一个信息容量更大、方向随便怎么放都能读的图案。

这个出身留下了两个后果，都对支付很关键。

第一个是纠错。二维码在编码时就掺进了冗余信息，图案缺一块、脏一块、印歪一块，扫码器仍然能把内容还原出来。产线上的零件会磕碰、会沾油，所以它必须能扫。这个能力换到支付场景里就变成：一张贴在菜摊木板上、被雨淋过、被袖子磨掉一角的贴纸，还是能被扫出来。一个为脏零件设计的编码，恰好是唯一能当街边收款工具用的编码。

第二个后果更重要，而且和技术无关。

电装持有二维码相关的专利，标准化过程从上世纪九十年代末做到本世纪初完成，成为 ISO/IEC 18004。但电装没有对这个标准收取使用费。任何人都可以生成二维码、可以写一个扫码程序、可以把它印到任何东西上，不必找谁授权，不必交一分钱。

对照一下 NFC——就是你把卡或手机贴到读卡器上那种近场通讯。NFC 在消费者那一侧也可以很便宜，问题在商户那一侧：要收 NFC，商户需要一台真的读卡器，这台机器要过认证、要装安全模块、要跟着卡组织的规范升级，链条上还有芯片厂、设备厂、认证机构、授权方各自的一份钱。

二维码能铺满一个国家，第一位的原因不是它技术上多好，而是它没有收费的闸门。 一项技术只要有人在中间收钱，扩散速度就由那个人的商业判断决定；没人收钱，扩散速度只由需求决定。

三、两种码：谁把码摆出来，谁去扫¶

到这里要把最容易混的东西讲清楚。日常语言里都叫「扫码支付」，但它是两种方向相反的东西。分不清这一点，后面三个国家的差异全都看不懂。

商户出示码

商户把码摆出来，付款人用自己的手机去扫。

码里装的是商户的身份：这个商户在某个支付机构或某个清算系统里的编号，可能还带着商户名称、以及这笔要收多少钱。付款人扫到之后，手机上出现「付给某某商店」，确认、输密码或按指纹，付款指令从付款人的 App 发出去。

菜摊墙上那张贴纸就是这种。

消费者出示码

反过来。付款人在自己的 App 里调出一屏码，商户拿设备去扫。

码里装的是一串指向付款人账户的付款凭证，通常只在几十秒内有效，过时作废。商户扫到这串东西之后，把它送进自己的收单链路，由商户那一侧发起扣款请求。

便利店收银台旁边那把扫码枪就是干这个的。

方向不同，代价就不同。商户出示码把「联网、算力、界面」全部推给了付款人；消费者出示码把这些留在商户那边，换来的是收银速度——扫码枪扫一屏码只要一瞬间，不需要顾客低头输金额。所以大型连锁偏好消费者出示码，长尾商户只能用商户出示码。

顺便说一句方向的事：商户出示码这条路上，钱是付款人主动推出去的，不是商户去拉的。推和拉的区别，《支付系统》里已经讲过，这里不重复。记住结论就够了：商户出示码是一笔推式付款，商户没有向付款人账户发起扣款的能力。 后面讲欺诈和讲争议处理时都要用到这一句。

四、静态码和动态码：差别只在有没有金额¶

商户出示码内部还要再分一层。

静态码：码里只有商户编号，没有金额。付款人扫完自己输入要付多少。一张码印一次，贴在墙上用几年。

动态码：码里带着金额，可能还带着订单号。收银系统在每一笔交易时现生成一张，用完作废。

看这张表最下面两行。静态码省掉了商户的全部设备，代价是把「金额输入」和「码的真实性」两件事都交给了付款人。这两个代价后面各有一节专门讲。

五、跨过受理缺口的是哪一种¶

现在可以回答上一章的第一个问题了。真正填上受理缺口的，是商户出示的静态码。

用上一章的框架算一遍。商户要收下一笔电子付款，成本分两块：硬件成本和制度成本。

硬件成本这一块，答案干净得有点荒谬：一张纸的打印费。

不是「更便宜的机器」，是没有机器。菜摊那位不需要读卡设备、不需要通讯模块、不需要纸卷、不需要维护、不需要有人上门装。他需要的东西可以塞进围裙口袋，丢了再印一张。上一章说固定成本遇上很小的流水会高到荒谬——现在这个固定成本接近于零，一天两万流水和一天五百万流水分摊它,结果都是零。

制度成本这一块必须说清楚，因为上一章说过它才是最硬的那一块。它没有变成零。

商户仍然必须在一家有牌照的机构（支付机构或银行）开一个能收款的账户。这家机构仍然要核他的身份、看他做什么生意、给他一个编号、决定多久把钱结给他、决定这笔钱有没有风险。这些一步都没少。

变的是这套流程由谁做、花多长时间、花多少人力：

• 过去要一个销售跑一趟。现在是商户自己在手机 App 上走完：拍身份证件、拍店铺照片、填几项、提交。人力成本从「一次上门拜访加一次装机」降到「一次自助提交加一次后台审核」。
• 过去审核标准按一台机器的投入来定，太小的商户根本不值得审。现在小微商户走一套简化的准入，额度小、限额低、风险由那家机构在自己的账本里兜住。审一个不赚钱，但审一万个只是服务器在跑。
• 过去商户要承担拒付责任，这是尽职调查最重的一部分——收单机构怕的是商户跑路留下一堆退款。商户出示码是推式付款，没有卡那套持卡人发起的拒付，商户这一侧的风险敞口结构完全不同，审核要问的问题因此少了一大类。

制度成本没有归零，它从「按商户逐个投入的销售成本」变成了「一次做好、之后边际接近于零的软件成本」。 这才是那道缺口被跨过去的真正原因。上一章说制度成本不随硬件降价而下降——对的，它是被换了一种做法之后才降下来的，降下来的部分是人力，不是审核本身。

六、成本去哪了¶

上一章的第二个问题：成本不会消失，它去哪了。三个地方。

第一处：付款人的手机和流量

商户不需要读卡设备，因为读卡设备已经在付款人的口袋里了。摄像头、屏幕、算力、网络连接、App——一台受理终端需要的东西，一台智能手机全都有。

这是整件事最关键的一步：受理终端的成本没有消失，它被转移给了一个原本就要为别的理由买这台设备的人。 付款人买手机不是为了付款，是为了聊天、看视频、导航。付款只是顺便用一下已经付过钱的硬件。所以在商户账上，这笔成本看起来像凭空消失了。

这也解释了上一章那个「手机普及率跑在银行普及率前面」的时间差为什么这么重要。这套方案要求付款人有智能手机、有网络、有一个能付钱的账户，但不要求商户有任何东西。哪个市场手机多、银行网点少，这套方案在那里的优势就越大。

第二处：一套必须永远在线的中心账本

这一处最容易被忽略，而它是后面几章的全部内容。

静态码里只有一个商户编号。这串编号本身什么也不能做——它必须被送到某个地方，由那个地方回答三个问题：这个编号是谁；这个人还是不是有效商户；付款人账上够不够钱。

回答这三个问题需要两样东西：一本记着所有账户余额的账本，和一张记着所有商户编号对应谁的商户名录。运营这套东西的机构，从此必须做到实时、在线、不停机。

对比卡：卡有芯片，芯片自己能做一部分判断，终端也可以设一个小额免授权的门槛，链路断了还能先记下来后补。这套「分散在几万台终端上的局部判断能力」，是几十年时间和几十年设备投资堆出来的。二维码方案没有这个东西，也不需要——它把判断全部收回中心。

卡把智能分散到几万台终端里，二维码方案把智能全部收回到一个中心，于是终端可以是一张纸，中心必须一秒都不能停。 成本从几万台设备的采购与维护，变成了一家机构的账本、名录和不间断运行能力。

顺带一个很具体的成本回流：静态码的商户不知道钱有没有到。于是中国的小店门口出现了一台专门念「支付宝到账二十元」的音箱。设备成本被压到零之后，有一小部分又长回来了——但它现在是可选的，且只要几十块。

这本账本、这张名录、这份不停机的义务，都要有人建、有人出钱养。谁来建、谁来出，是下一章开始的全部争论。

第三处：付款人身上多出来的一类欺诈

码贴纸替换欺诈：有人拿一张自己的收款码贴纸，盖在商户那张上面。顾客扫的是墙上那张纸，钱进的是骗子的账户。商户站在旁边看不出任何异常，因为整个过程里他不接触任何设备、不参与任何环节。

静态码在这件事上格外脆弱，原因就是上面那张表最后一行：

• 它长期不变，所以骗子有时间准备、有时间挑没人的时候贴。
• 它没有金额和订单号，所以两张不同的码在顾客手机上看起来一样陌生——付款人本来就不认识这个商户编号对应的名字，看到「付给某某商贸」也不会觉得奇怪。
• 商户没有设备，所以没有任何一端会提示「码不是我的那张」。

动态码好得多。它每笔现生成、与订单绑定、几分钟就作废，贴一张假的进去只能骗到一次，而且收银系统这一头马上会发现这笔单子没收到钱。

消费者出示码的风险搬到了另一个位置。付款人 App 里那一屏码，本质是一张见码即付的凭证：谁扫到它，就能凭它从付款人账上扣钱。它不认人。所以把它截图发给别人、被人从背后拍一张，都等于把钱递了出去——这也是为什么这类码总是几十秒就刷新，并且 App 一般不许截屏。

三处成本转移里，前两处是把钱换了地方，第三处是造出了一类原来不存在的损失，而承担它的人是付款人。 一张纸能贴上去，别人的一张纸也能贴上去——这是同一个性质的两面，和上一章那句「能力和门槛是同一件东西的两面」正好对上。

七、一个码要能被不止一家读懂：EMVCo 的规范¶

到目前为止讲的都是一个国家、一套方案内部的事。再往外走一步就会撞上一个问题：码里那串字符，是谁定的格式？

一张码就是一串字符。如果每家支付机构自己规定这串字符怎么排，那么一张码只有生成它的那家机构的 App 能读懂。商户桌上就得摆一排贴纸，顾客得先找到自己那张。这不是假设，很多市场早期就是这样的。

EMVCo 出了二维码规范，分两类，正好对应上面那两个方向：

• MPM，商户出示码（merchant-presented mode）。
• CPM，消费者出示码（consumer-presented mode）。

规范做的事情说白了很朴素：规定这串字符里哪一段放什么，让一张码可以被不同方案的 App 读懂，而不必事先约定。

它不解决钱怎么清算，不解决谁收多少手续费，不解决两个国家的汇率。它只解决「读得懂」。这是互认的第一步，也是最容易的一步。等到东南亚那一章，你会看到读得懂之后，真正难的事情才开始——东南亚的碎片与互认里那些互认连接已经通了很多条，跑起来的量却小得惊人。

但有一件事值得你在整门课里一直记着：EMVCo 是谁的。

EMVCo 由六家卡组织等份共同持有：Visa、Mastercard、American Express、Discover、JCB、中国银联。它不是一个中立的国际标准机构，它是卡组织的联合体。

于是有了这门课里最值得玩味的一个结构：巴西的 Pix、泰国的 PromptPay、马来西亚的 DuitNow、新加坡的 PayNow、香港的 HKQR、印尼的 QRIS、越南的 VietQR——这些被拿来证明「A2A 正在取代卡」的国民码，用的都是 EMVCo 商户出示码那套格式。 那些绕开卡的轨道，说的是卡组织写的那门语言。

要不要因此认为卡组织在这上面收钱？不要——EMV 规范是免费公开的，一分不收。

而这正是重点。回头看本章开头电装的做法：不设闸门，扩散就快；扩散得够快，你就成了那个默认参照系。 卡组织在这一层拿到的不是一笔手续费，是一个位置——格式往哪儿改、下一版加什么字段、跨境互认按谁的规范对齐，桌上永远坐着它们的人。收不收费和有没有影响力，是两件完全不同的事。

这只是它们伸手的第一处。财报上看不出来那一章会把这一处和其余几处放在一起看。

八、码不是轨道：这张纸只解决了怎么发起¶

EMVCo 的规范让一张码能被不同的 App 读懂。读懂之后呢？读懂只意味着这台手机知道要把钱付给谁、付多少。钱本身一分没动。

所以这里要立一条规矩，越早立越好，因为后面十二章都在用它：

二维码是一种形态，不是一条轨道。

拆开说：

• 形态决定用户怎么发起一笔付款——扫一张码、输一个手机号、跳到网银、报一串一次性六位数字。
• 轨道决定钱怎么从一个账户搬到另一个账户——谁清算、谁结算、几秒到还是隔天到。

一张码本身不搬钱。它是一段编码好的收款信息；扫完之后真正发生的那笔付款，走的是码底下那条轨道。

这一条为什么要紧？因为码底下可以是三种完全不同的东西，而它们的经济结构正好相反：

第三行最容易被漏掉：一笔用码发起、底下跑的是卡的交易，仍然是一笔卡交易。 交换费照付，拒付权照在，账照样记在发卡行那边。形态换了，这笔账一点没变。

所以「这个国家在扫码」和「这个国家不走卡」是两件事，中间没有必然联系。 后面每一章讲一个市场，真正在比的都是中间那一列——那条轨道是谁建的、谁在养它。码长什么样，反而是最不重要的一层。

这条规矩还有一个反过来的用法：不扫码不等于落后。 澳大利亚整条即时轨道上基本没有码，波兰用一次性六位数字，荷兰用银行跳转——它们照样有自己跑得很好的本地轨道。轨道地图把这件事拆成四层，配了一张十一个市场的对照表。

九、这一章引出的问题¶

把这一章压成一句话：二维码没有发明任何新的支付关系，它重新分配了成本。商户侧的硬件成本被压到打印费，制度成本从上门销售变成自助提交，代价是终端成本转给了付款人的手机，判断能力收进了一个必须永远在线的中心，付款人多担了一类欺诈。

于是新的问题很清楚了。

一张贴纸很便宜，但它背后那套东西不便宜：一本实时账本、一张全国商户名录、一套不停机的运行能力、一支处理欺诈和投诉的团队。谁去建这套东西，谁出钱养它，谁定商户该付多少手续费？

这个问题没有唯一答案。三个国家给了三种完全不同的答案：一个国家由两家私营公司抢着建，一个国家由银行共有的清算机构建、并且把商户费率用法律定成零，一个国家由央行自己下场建、并且强制大机构接入。三种建法养出了三种完全不同的市场，商户成本从零到 0.6% 不等。

先看最早跑通的那一个：没有政府强制，两家公司是怎么把一个国家的收款口抢下来的——中国的双寡头。

十、自检题¶

1. 商户出示码和消费者出示码，各自是哪一侧必须联网？这一点怎么决定了它们分别适合什么样的商户？
2. 静态码里没有金额。这一个缺失同时带来一个优点和一个风险，分别是什么？
3. 「二维码把商户的受理成本降到了零」——这句话哪里对，哪里错？
4. 电装持有二维码专利却不收使用费。如果它当年收了，会发生什么？把这一条和 NFC 受理端的成本结构比一比。
5. 卡受理网络可以让几万台终端各自做一部分判断，二维码方案做不到。为什么？这个差别把成本压到了谁头上？
6. 「形态」和「轨道」各自决定什么？一张码底下可能是哪三种东西，哪一种情况下卡组织照样收得到钱？

十一、参考答案¶

先自己答完再往下看。

1. 商户出示码要求付款人联网：码是死的，付款指令从付款人的 App 发出去。消费者出示码要求商户联网：付款人那一屏码只是一串凭证，扣款请求由商户的收单链路发起。所以商户出示码适合完全没有设备、没有网络的长尾商户——摊主、路边、个人；消费者出示码适合有收银系统、要求几秒一单的连锁店，因为扫码枪比顾客低头输金额快得多。

2. 优点是商户彻底不需要设备：金额由付款人输入，那张码印一次就能用几年，硬件成本等于打印费。风险是这张码长期不变、且不含订单信息，所以别人有时间在上面盖一张自己的，而付款人和商户两边都看不出异常——付款人本来就不认识那个商户名，商户手里没有任何设备会提示。动态码把这两点都堵掉了。

3. 对的部分是硬件成本：不是变便宜，是没有了，剩下的只是打印费。错的部分是制度成本：商户仍然必须在一家有牌照的机构开一个收款账户，仍然要过身份核查、拿编号、接受结算安排。这一块没有归零，它只是从「一个销售跑一趟」变成了「商户自己在 App 上提交、后台批量审」，人力成本降下来了，审核本身还在。

4. 会有一个收费的闸门，扩散速度就由收费方的商业判断决定，而不是由需求决定。NFC 受理端就是这个样子：商户必须买一台过了认证的设备，链条上设备厂、认证机构、授权方各收一段，规范升级还要动全网设备。二维码这一侧没有任何人可以收钱、也没有任何人可以拦，所以一张纸就能进入任何一个市场。没有闸门，是它铺开的第一位原因，这一条和技术水平无关。

5. 因为卡有芯片，终端里有安全模块和规则，能在本地做一部分授权判断，还能设小额免授权门槛、断网后先记账再补。这套分散的局部智能是几十年设备投资堆出来的。二维码那张纸里什么都没有，只有一个商户编号，所有判断只能在中心完成。于是成本压到了运营这套方案的机构头上：一本实时账本、一张商户名录、加上一秒都不能停的义务。终端因此可以是一张纸，中心因此必须永远在线。

6. 形态决定用户怎么发起一笔付款（扫码、手机号、跳转、六位数字），轨道决定钱怎么从一个账户搬到另一个账户（谁清算、谁结算、多久到账）。码底下可能是三种东西：银行的即时清算轨道（印度、巴西、新加坡、泰国）、钱包自己的账本（中国的闭环）、卡。第三种情况下卡组织照样收得到钱——用码发起、底下跑卡的交易仍然是一笔卡交易，交换费照付、拒付权照在。所以「在扫码」和「不走卡」是两件事。

上一章：第 1 章　卡的三个前提：一台机器、一张卡、一笔交换费 下一章：第 3 章　中国：两家公司抢下一个国家的收款口