支付宝扫描第三方收款码时提示非官方网页怎么办？

2026-10-24支付小周

结论

“非支付宝官方网页，请确认是否继续访问”说明二维码指向第三方网站，并非支付宝自有页面。这是一条外部链接安全提醒，不表示二维码一定有问题，也不表示已经发生付款。

聚合支付、商户自建收银台等正常场景也可能出现这条提示，但伪造付款页和钓鱼网站同样可能通过这种方式打开。继续访问前，应核对网页域名、商户名称、收款方和付款金额。无法确认来源时，直接退出即可。

为什么会出现该提示

支付宝扫描二维码后，会根据其中保存的内容执行不同操作：

二维码包含支付宝可以直接识别的官方支付协议或官方收款链接时，通常会进入支付宝付款流程。
二维码保存的是普通 http:// 或 https:// 地址时，支付宝会将其作为外部网页处理。
第三方聚合支付平台可能先打开自己的收银台，再跳转至支付宝支付，因此会触发外部网页提醒。
二维码失效、配置错误或被替换后，也可能跳转到无关网站。

所以，商家所说的“支付宝收款码”未必是支付宝直接生成的官方收款码，也可能是聚合支付服务商提供的入口码。

是否存在安全风险

存在风险，但要结合页面内容判断。常见风险包括：

二维码被覆盖或替换，实际链接与商户无关。
网页仿冒支付宝登录页，诱导用户输入账号、密码、身份证号或短信验证码。
页面要求下载 APK、安装描述文件或授予与付款无关的权限。
跳转后的收款方名称、金额与实际交易不一致。
网站使用明文 HTTP 传输信息，或存在域名拼写异常、证书无效等问题。
页面以“付款失败”“账户异常”等理由诱导用户重复支付。

这条提醒只能说明当前打开的是外部页面，不能证明该页面是否安全。

如何确认和处理

1. 确认二维码来源

检查二维码是否来自可信商户，表面有没有覆盖、重新粘贴或明显破损的痕迹。对于聊天群、短信、陌生邮件和网页弹窗中的二维码，需要格外谨慎。

线下付款时，可以询问收银员，并确认二维码确实属于当前门店。

2. 查看目标地址

继续访问前，查看页面显示的完整域名：

地址应以 https:// 开头。
域名应与商户或支付服务商公布的信息一致。
留意拼写相近、层级异常或由随机字符组成的域名。
不要因为网址中包含 alipay 等字样就认定它属于支付宝。例如，alipay.example.com 实际由 example.com 控制，并不属于支付宝。

HTTPS只能说明连接经过加密，无法证明网站经营者可信。

3. 核对付款信息

进入付款确认页后，检查以下内容：

收款方名称是否与商户一致；
金额、商品和订单号是否正确；
最终确认支付的界面是否由支付宝客户端提供；
页面是否提出不合理的登录、授权或下载要求。

只要有一项不一致，就应停止操作并联系商户核实。

4. 页面索要敏感信息时退出

正常付款时，不应在第三方网页中填写支付宝支付密码、银行卡密码或短信验证码，也不要按照网页提示安装未知应用、开启屏幕共享或向个人账户转账。

如果页面提出这些要求，应立即关闭，不要继续付款。

5. 无法确认时更换付款方式

可以要求商户提供支付宝官方收款码，也可以通过支付宝内的转账、付款码等可信入口完成交易。不要为了绕过提示而把链接复制到其他浏览器中打开，这样做不会降低风险。

商户或开发者如何排查

如果二维码对应的是自有收银台，可以先解析二维码内容，确认它是否指向预期域名，再检查整个跳转链路。可以使用标准工具查看 HTTP 响应头：

curl -I "https://pay.example.com/checkout?id=ORDER_ID"

如需查看完整的重定向过程：

curl -IL "https://pay.example.com/checkout?id=ORDER_ID"

检查其中是否有意外的 Location 跳转、HTTP 降级或第三方域名。测试时应使用脱敏订单号，不要将签名密钥、用户标识或真实支付凭证写入命令和日志。

服务端应通过允许列表限制跳转目标，不能直接信任客户端传入的 redirect_url。下面是一个简化示例：

const ALLOWED_HOSTS = new Set([
  "merchant.example.com",
  "pay.example.com"
]);

function validateRedirect(rawUrl) {
  const url = new URL(rawUrl);

  if (url.protocol !== "https:") {
    throw new Error("Only HTTPS redirects are allowed");
  }

  if (!ALLOWED_HOSTS.has(url.hostname)) {
    throw new Error("Redirect host is not allowed");
  }

  return url.toString();
}

实际支付系统还应校验订单状态、金额、商户号、签名和回调来源。具体字段和签名规则必须以接入的支付服务商当前提供的官方文档为准，不能只依赖前端页面或 URL 参数。

已经访问或付款后怎么办

如果只是打开了页面，没有输入信息、下载文件或完成付款，通常关闭页面即可。

如果已经输入账号、密码或验证码，应尽快修改相关密码，检查账户的登录设备和交易记录，并联系支付宝客服或发卡银行处理。

如果已经付款，但发现收款方或金额异常，应保留二维码照片、页面地址、订单号、交易记录和聊天凭证，通过支付宝账单中的投诉或客服入口反馈。资金能否撤销或追回，取决于交易状态和平台核查结果，无法保证一定成功。

注意事项

外部网页提醒不是风险鉴定结果，不能直接据此认定诈骗，也不能据此判断页面安全。
二维码中央带有支付宝图标，不表示它由支付宝生成。
不要关闭安全提醒后反复尝试，也不要按照陌生人的指示解除风控。
如果商户无法解释域名归属、支付服务商或收款方信息，建议停止交易。
开发者不应使用伪装域名、自动跳转或诱导文案来规避安全提示。应使用合规的支付产品，并让用户能够清楚识别商户和付款信息。