关掉免密支付，付款码还是不用输密码：支付宝官方文档的这条口径，和视频里被刷走的钱

2024 年 7 月，湖南做手机销售的赵女士收到「买家」的消息：货款走支付宝转。她把收款码发了过去，对方却说扫不出来，提议开视频「当面扫」。就在她举着手机亮出收款码的那几秒里，账户被连刷两笔，1400 多元没了——刷走的不是她的收款码，是页面上先弹出来的那张付款码。长沙警方后来查明，这个团伙用同样的手法作案 200 余起、涉案资金一百余万元（光明网转述警方通报）。

打开「收付款」，第一眼不是收款码

不论是微信还是支付宝，点开「收付款」，页面默认先出现的是付款码；想收钱，得手动切到收款码那一页。北京警方在给新华社的演示里点破了这一层：骗子催你「视频里亮一下收款码」，等的就是你在这两个页面之间切换的那一两秒——平台本身禁止对付款码截屏和录屏，但拦不住对方用另一部手机对着屏幕拍。

付款码也不是收款码的「兄弟页面」。按支付宝在开放平台文档里的说明，付款码支付走的是代扣流程：商家用扫码枪一扫，钱就划走，一般不需要输密码（支付宝开放文档）。我们每天把这张码亮给无数扫码枪，多数人从没想过它和「收款码」在权限上是两个物种。

单笔 1000 元、单日 5 万元，是仅有的两道额度线

不用验证密码的额度有两条：单笔 1000 元、单日 50000 元，超过任意一条，支付宝才会要求输入支付密码（支付宝开放文档）。算一笔账就知道这道口子有多大：骗子每笔刷 999 元，连刷 10 笔是 9990 元，全程一个密码都不用输。湖南那起案件里，被盗刷的两笔分别是 499 元和 999 元，恰好都卡在额度之内。

为了让这张码没那么容易被偷走，支付宝给它配了自动防护：付款码每分钟自动刷新一次，用过一次之后，无论成功还是失败都不能再用（支付宝技术支持中心）。人民日报客户端转述支付宝安全中心的提醒时还列了两条：安卓手机在付款码页面无法截屏，苹果手机截屏会弹出「不要发送给他人」的提示。

「关掉免密支付」，为什么不是这道口子的开关

很多人中招后第一反应是去关「免密支付」，以为这样付款码就要密码了。支付宝开放文档里有一条专门回答这个问题：小额免密与付款码支付不是同一概念——支付宝客户端 9.0 版本之后，在代扣额度内默认就不需要输入密码（支付宝开放文档）。

换句话说，关闭免密支付关掉的是你授权给各个 App 的代扣项目，付款码那条「额度内免密」的通道并不会因此上锁。

真正能挡住这一下的，是付款码自己的两把锁。2023 年 4 月，支付宝上线「付款码隐私保护功能」，开启后进入收付款页面时付款码默认隐藏，确认环境安全再手动点「展示付款码」（北京日报）；「付款码安全锁」开启后，进入收付款页面要先验证指纹、人脸或密码。这两把锁要手动开启；禁截屏、动态更新、数字码二次确认这三道防护则默认开着（环球网）。

两个开关，一分钟设置

• 开启付款码隐私保护：支付宝「收付款」→ 右上角「···」→「付款码隐私保护」→ 开启（新华社）。
• 清「免密支付/自动扣款」里的陌生授权：「我的」→「设置」→「支付设置」→「免密支付」，把不认识的代扣项目逐个关掉（人民日报客户端）。

还有两条日常习惯值得留着：付款码别在人多的地方提前打开，排队结账再调出；和陌生人视频时，不要展示任何收付款页面。

付款码不是一张可以随便亮的二维码，它是随身携带的电子现金——露出来多久，就值多少钱。

你的「付款码隐私保护」现在是什么状态？

A. 已经开了，免密授权也清过一遍

B. 只开了其中一个，另一个还没动

C. 都没设置过，看完这篇去开

评论区说说你是哪一种。

觉得这篇有收获？点个「赞」和「在看」，新朋友点个关注。