在线码比较容易理解，客户在点击“付款”时，客户端向服务器申请一个给该客户的支付凭证码并显示在客户端。这种在线码优点是：l安全性相对较高，实时在线生成，有效期仅60s，不会有被窃取付款码盗刷的风险。当用户使用离线码付款时，服务器端会通过算法校验这个码是否来自这个对应用户，校验通过才会授权完成支付。
不知道大家是否注意到了，在平时付款时，即使没有网，也可以出示付款码让商家扫码付款成功，这是怎么做到的呢？今天芝麻给大家简单说一下。
其实微信和支付宝的“当面付”产品是一款需要联机在线支付的产品，所以这里所说的“没有网”也仅仅指的是消费者客户端不联网的情况，商家是需要在联网环境下才能收款的（这一点和公交卡圈存支付不一样，公交卡的近场支付允许双方都脱机）。所以严格来说，当面付产品（特指商户主动扫消费者钱包客户端上的token码的支付场景）必须是在商户联机在线的情况下才可以交易，原因主要是因为以下两点：
1.为了保证交易安全，支付公司必须确保每笔交易在支付后都真实发生了资金扣款，商家需要当场确认，所以商家联机在线是必要的，不能双方都脱机。
2.为了确保支付结果的真实性，必须是商家自己从支付接口或终端获取支付结果，而不能以消费者展示的支付凭证作为最终支付结果。这个原因也比较好理解，一来消费者给的扣款凭证未必是真实有效的，二来针对订单本身也需要返回正常的回执结果才能算交易完成。就像POS业务收款，商家也是务必要看到POS机打出收款单才会认为支付有效，单凭客户手中的银行扣款通知是不会让客户走的，只会把这笔冲正，再让客户重新刷一笔。因此，商户必须在联机在线情况下才可以收款成功。
那么这种当面付是如何在客户端脱机情况下收款的呢？我们先以支付宝为例看看一个标准的当面付产品的信息流是什么样的：
在图中红色圆圈部分商家系统和支付宝系统是需要联网对接的，所以商家必须在线收款，而消费者在展示code付款的时候，可以离线生成，因为无论是微信还是支付宝，都支持生成在线码和离线码两种模式的付款码。
在线码比较容易理解，客户在点击“付款”时，客户端向服务器申请一个给该客户的支付凭证码并显示在客户端。这个支付凭证码在服务器端会有一组数据库记录其与真实客户账户之间的关联，并且这份关联的有效期只维持60s，超过时效这个支付码便会作废。用户每次点开【付款】、或等待超过60s、或主动刷新付款码时都会触发客户端重新向服务器发起申请新码的请求。
这种在线码优点是：
l安全性相对较高，实时在线生成，有效期仅60s，不会有被窃取付款码盗刷的风险。
l业务灵活，由服务器直接生成发送，即使对码的安全算法进行较大调整，也不用升级客户端。
缺点也显而易见：必须联网生成，没有网或者是网速不好的情况下，支付体验会很糟糕。
所以，为了避免必须联网的局限性，推出了离线码。
离线码的生成过程是这样：
1.用户登录客户端后，自动向服务器端申请一个令牌种子；
2.服务器端通过可信网络向客户端发送令牌种子（每个客户的令牌种子唯一，换客户登录后销毁原种子，重新下载种子）本地保存；
3.当用户点击【付款】时，客户端用令牌种子时间戳一套安全算法即可生成一串数字，即离线码。
当用户使用离线码付款时，服务器端会通过算法校验这个码是否来自这个对应用户，校验通过才会授权完成支付。
离线码的优点：
（1）无需联网生成，没有网也可以顺利使用；
（2）本地生成保存，一点付款码就可以出来，客户体验较好。
但是缺点也是有的：
（1）因为离线码保存在本地，所以用户手机如果root后，保密存储的令牌种子数据可能会被不法分子盗取用于随意消费。
不过针对这种缺陷，微信和支付宝肯定有相应的技术确保用户支付安全，不过这个技术就属于商业机密了，芝麻也不甚清楚。
（2）业务调整不如在线码灵活，因为离线码的生成逻辑都在客户端完成，所以如果涉及到修改算法，就需要升级客户端，客户体验会有影响。
（3）算法导致的小概率错误，这个涉及一些算法问题，简单来说就是A用户的码算出来后恰巧和B用户的码一模一样，并且都有效。不过这种情况发生的概率极低，也可以忽略不计。
最后，芝麻给大家一点温馨提示，现在手机支付在打开方便大门的同时，也给我们的信息和资金安全带来了隐患，所以大家平时一定要注意手机软件的健康使用，一般没有特殊用途就不要root了；再有，重要密码和证件不要记录在一处，以免因为手机丢失带来无法挽回的损失。
