深入防伪码安全的密码学基础：从码ID的全局唯一性保证（雪花算法变体）、AES-256-GCM加密层、到反破解的四层防护体系，详解百亿级防伪码的安全架构。
防伪码的安全性是整个防伪体系的基石。如果码本身可以被猜测、复制或伪造，那么其上层的所有追溯、营销、数据分析能力都将建设在沙滩上。智溯云已累计生成超过100亿枚防伪码，在这个过程中，码的安全体系经历了从简单到复杂、从单一防护到多层纵深防御的演进。本文将公开这套安全架构的技术细节。
码ID的唯一性保证——不止是UUID。保证百亿级码ID不重复需要多重机制。第一层，采用雪花算法变体（Snowflake Variant）生成64位长整型ID：1位保留+41位毫秒级时间戳+5位数据中心ID+5位Worker ID+12位序列号。在单个Worker内，12位序列号支持每毫秒4096个ID，结合时间戳保证在单数据中心内ID递增且不重复。第二层，数据库唯一约束兜底——即使算法层面出现了极小概率的ID冲突，数据库UNIQUE KEY约束也会拒绝写入并触发重新生成。第三层，预分配+区间锁机制——批量生码时先原子性地在数据库中占用一个ID区间（如1-10000），Worker在区间内顺序分配，避免逐条竞争数据库锁。
码承载信息的加密设计。QR码承载的URL格式为：https://lcmq.com/v/{加密payload}。加密payload不是原始码ID，而是经过AES-256-GCM加密的密文。GCM模式除了加密外还提供完整性验证（Authentication Tag），任何对密文的篡改都会导致解密失败。密钥托管在KMS（Key Management Service）中，定期轮换且从未离开过HSM（硬件安全模块）。加密payload中还嵌入了生成时间戳和HMAC签名，即使攻击者获得了加密算法（通过逆向工程），也无法在没有密钥的情况下生成有效的码。
四层纵深防御体系。第一层——码不可猜测性：前面提到的加密机制使码ID与URL中的密文之间没有可推导的数学关系。第二层——码注册验证：每一枚码在服务器端都有注册记录，消费者扫码时服务端会检查该码是否已在系统中注册（是合法生成的码还是伪造的码），未注册的码即使解密格式正确也返回假货告警。第三层——单码行为监控：每个码的查询次数、时间间隔、地理位置等信息被实时追踪。同一枚码如果在短时间内被从不同城市查询，这是典型的复制码信号——系统立即将该码标记为“风险”并通知品牌方。第四层——全局异常模式识别：AI模型从海量扫码日志中学习攻击模式，自动识别批量探测、分布式伪造攻击等大规模攻击行为，在攻击早期就触发防御机制。
反破解设计——安全不只是算法。安全中最薄弱的环节往往不是算法而是工程实现。反破解的关键措施包括：定时噪声——码URL中加入会随时间变化的噪声参数，使得即使同一个码在不同时间扫码生成的URL也不同，对抗URL收集+重放攻击；环境指纹——扫码请求中包含设备指纹、UserAgent、网络特征等环境信息，同一设备大量查询不同码是典型的爬虫/探测行为；速率限制——针对单个IP/设备的查询速率限制，单个设备每分钟最多查询60个不同码（正常消费者行为远低于此阈值）；蜜罐码——在系统中埋设专门用于诱捕的蜜罐码，任何对蜜罐码的查询都是明确的攻击信号。
