引導 QR 不上網

主張：持有信任不能變成超連結

就近會面是通道，不是聯絡人。那條通道仍需要引導：足夠的材料讓回應方找到發起方的工作階段，並證明掃到的是這次會面，而不是上週截圖的重播。

引導包含短壽命的工作階段識別碼，以及持有驗證碼——綁定 QR 與後續握手確認的隨機位元組。在過期前持有完整引導的人，可以嘗試以回應方加入。這是刻意的：實體在場（或刻意貼上）是啟動工作階段的信任錨。

主張是：那個驗證碼絕不能以普通網頁 URL 旅行。 公開形態是非 URL 字串：

NT2-PXP2:<base64url payload>

支援的交接是應用內 QR 顯示，以及在 NT² 內刻意貼上純文字。可導航的 https://…/?m=… 深層連結——對普通共用封包很優秀——在這裡是錯誤容器。

限制：URL 會記住你希望短暫的東西

深層連結是預設的網頁交接。NT² 大量用於聯絡人邀請與 Mode B/C 封包。它們好複製、能從訊息開啟，並經保管箱來源解析。

它們也很黏。

瀏覽紀錄會留下能力字串。 回應方「試著開一下」引導連結，就會在紀錄、同步設定檔與共用機器留下殘留。

Referrer 與系統相機 → URL 開啟路徑會擴大觀眾。 把 QR 內容變成導航的系統相機，優化的是行銷 URL，不是單次驗證碼。字串一旦是 URL，中介者就當連結處理。

Service worker、崩潰報告與分析喜歡 URL 形狀。 即使謹慎的產品，也會把查詢字串漏進工程師忘了清洗的地方。非 URL 的本機載體比較難被誤認為「又一個 ?m= 訊息」。

剪貼簿管理程式會留下你複製的內容。 自動複製引導文字會拉長暴露窗口。NT² 從不自動複製能力字串；貼上是明確、有警告的路徑。

若引導能活在 URL 裡，驗證碼就已經離開房間的威脅模型，進入網頁的威脅模型。

設計：應用內持有交接，再以 transcript 綁定確認

sequenceDiagram
  participant I as 發起方
  participant R as 回應方
  I->>I: 新的工作階段識別碼 + 驗證碼 + 短暫金鑰
  I->>R: NT2-PXP2 QR 或刻意貼上
  R->>R: 分類為本機 PXP 引導（不是 URL）
  R->>I: 已驗證握手
  Note over I,R: Transcript 把引導綁到確認
  I->>I: 導出單向流量金鑰
  R->>R: 導出單向流量金鑰

先做非 URL 分類。 理解保管箱訊息的接收端，在把位元組當深層連結之前先檢查 NT2-PXP2:。URL 與其他公開載體拒絕近距離工作階段引導，而不是「好心」開啟。普通共用動作繼續用 https://se.nt2.me/?m=…；帶密的就近引導不用。

短壽命。 工作階段識別碼與驗證碼會過期。正常介面只顯示工作階段識別碼的短後綴。完整識別碼不當成穩定的日誌鍵。

以 transcript 綁定的握手。 確認把驗證碼綁到握手 transcript，讓被截到的 QR 難以事後隨興重播成另一種對話形狀。已用標記，以及單一回應方並行（第二個 peer 嘗試同一個活工作階段時忙碌），避免把會面變成廣播加入碼。

確認後的單向流量。 雙方確認後，流量金鑰與 nonce 前綴是單向的。重試在工作階段規則內保持重播安全。拆除時——成功、取消或逾時——工作階段機密清零。

需要時給人看的警告。 複製到剪貼簿需要確認：管理程式可能保留字串，且不得貼到公開聊天或 email。QR 仍是建議路徑，因為它把驗證碼留在房間裡。

取捨：放棄「相機開啟保管箱網站」

讓引導不上網，代價是熟悉的便利。

使用者不能指望系統相機 App 像開啟行銷 QR 那樣開啟就近會面。回應方需要 NT² 的應用內掃描器（或刻意貼進接收）。支援必須解釋「在 App 裡掃」，聽起來不能像壞掉。

我們接受摩擦，因為替代方案是教瀏覽器遺忘。清洗紀錄不完整；referrer 政策不完整；「請不要截圖」不是控制項。不是 URL 的格式，直接拿掉一整類意外公開。

這個選擇與產品其他地方的漸進揭露並列：進階或敏感載體，比日常深層連結有更銳的邊。就近引導本質上敏感——它是加密會面的加入能力。

我們拒絕什麼

我們拒絕以 URL 或深層連結接受就近會面 v2 引導。 若它會導航，就是錯誤載體。

我們拒絕把驗證碼塞進為拋棄式收件匣連結設計的普通公開訊息載體。 工作階段引導是加入能力，不是你在聊天裡轉寄的共用。

我們拒絕自動複製能力字串到剪貼簿。 貼上是明確且有警告的。

我們拒絕把完整工作階段識別碼當持久識別碼記錄。 給人看的短後綴就夠；完整值遠離例行遙測。

我們拒絕把過期或已用的引導當成可靜默重用。 持有是有時限的。

收束：QR 是房間的鑰匙

就近會面從刻意的實體交接開始。門鑰匙是 NT2-PXP2:…——在保管箱內掃描或貼上——不是握手開始前就在公開網頁巡遊的超連結。

上一篇：近距離工作階段 ≠ 對等連線。下一篇：工作階段就緒後，控制平面訊息與 WebRTC 大量平面如何傳遞聯絡人邀請與 Mode A 附件，而不發明第二套共用格式。

若你希望當面保管箱交接把加入材料留在瀏覽紀錄之外，歡迎探索 NT² Vault。