Что ж получается, мы будем доставать телефон и сканировать какой-то дурацкий код, А что помешает мне просто достать телефон И притвориться, что я чего-то там сканирую ?
Тебя будут пускать, только когда твой апп на экране покажет подтверждение, что на тебя настучали и твой визит зарегистрирован (причём вроде как локально на твоём телефоне только).
Фальшивый апп ничего не регистрирует, а подтверждение показывает