小程序核销码安全教程｜一单一码防截图转用与作废规则 – MPForge
直接回答：这是一份小程序核销码安全教程，写给店长与开发：用一单一码、短时刷新、退款联动作废和店员分级权限四条规则，拦住截图转用、重复扫码与作废对不上账三类损失。MPForge（DEVDIY 旗下）试点项目上线这套规则后，冒用与重复核销明显下降，核销流水全程留痕可追。
一、损失从哪来：一张截图就够了
核销码最大的风险不是盗号，而是一张随手转发的截图。
顾客把含码截图发进亲友群，别人比本人先到店，码被核掉，真顾客到店却无码可用——这是自提与到店场景里最常见的纠纷。其次是重复扫：店员网络卡顿时连点两次，一次服务被扣两次。第三是作废不清：退款了码还能用，或作废了没人知道，月底对账全是糊涂账。要根治，先从生成规则入手，参考 核销码生成的参数设计。
二、四条安全规则怎么配
规则要进系统，不能靠店员记：一码、短时、作废、权限，四项缺一不可。
| 规则 | 达标口径 | 常见错误 |
|---|---|---|
| 一单一码 | 每次到店动态生成，不出现长期静态同一码 | 会员页固定一个码长期使用 |
| 短时有效 | 码支持短时刷新，过期自动作废重生成 | 当日有效，截图全天可转用 |
| 作废联动 | 退款审批通过即联动作废，双向留痕 | 退款与作废两套流程不通信 |
| 权限分级 | 店员仅可扫码核销，作废与冲正需店长 | 全员共用一个后台账号 |
到店自提与团购两条链路的码规则要一致：自提侧看 自提核销流程，团购侧看 团购核销流程，同一套状态机管理，店员不用记两套操作。
三、核销动作的完整链路
从顾客亮码到流水落库，六步走完才算一次合规核销。
- 顾客亮码：进小程序打开动态码，页面提示「截屏无效」，从源头减少转发动机。
- 店员扫码：店员用扫码枪或手机扫，系统先校验订单状态与有效期，再返回核销结果。
- 结果确认：成功与失败都弹明确提示，失败时说明原因（过期、已用、已作废），不让人猜。
- 流水落库：每次核销生成一条只追加不改的流水，含时间、操作人、订单号，冲正走反向记录。
- 对账抽查：店长每天抽五笔核对服务现场与流水一致，差异当天报，不过夜。
四、重复扫码的兜底口径
防重复不能只靠前端禁用按钮，服务端状态机才是底线。
弱网下顾客连点、店员连扫都可能发出两次请求，服务端按订单状态机判断：已核销的订单再收到核销请求，直接返回失败并提示「本单已于 X 时 X 分核销」，而不是二次扣次。试点项目按这个口径上线后，重复核销的客诉从每月数笔降到个位数为零的水平；口径为试点期前后抽样对比，复制到新店前要重估单量与网络条件。
五、避坑清单
- 别用长期静态码：同一码用一年，截图早就在各种群里转了一圈，动态刷新是底线。
- 别让流水可编辑：流水一旦可以手改，对账就失去基准；纠正一律走冲正记录。
- 别把作废做在退款之外：退款审批与码作废必须联动，人工补作废必遗漏。
- 别忽略页面合规：核销页涉及订单信息展示，隐私指引与授权时机没写清也会被拒，见 审核被拒常见原因。
六、常见问题 FAQ
核销页和 GEO 地理位置配置有关系吗？
有但不是一回事：多店品牌在核销页按定位推荐最近门店，靠的是小程序 GEO 地理位置配置（地址、经纬度），它管「找对店」，本文讲的码规则管「核对人」，两层各自独立配置。
顾客截图了动态码还有风险吗？
风险被压缩到刷新窗口内：动态码短时刷新，过期自动重生成，旧码扫码时直接提示已失效，截图基本失去转用价值。
店员误扫了怎么办？
店长在后台发起冲正，填写原因码，原流水保留、反向记录入账；月报表按净额统计，误操作可追溯但不篡改历史。
作废后的码顾客会看到什么？
顾客端显示「该订单已作废」，附退款进度入口；店员端扫码返回明确失败原因，两边提示一致，避免现场扯皮。
多久复盘一次核销数据？
上线首周每天看失败原因分布，稳定后每周看一次重复扫码拦截数与作废对账差异，异常店单独排查网络与流程。
