什麼是防反潛回Anti-passback？

為什麼門禁系統需要反潛回

一般門禁系統只負責核實憑證是否有效，並不會理會同一張卡是否已經進入卻仍未離開。這帶來一個常見漏洞：一名員工刷卡進入辦公室後，把卡遞給閘外的同事，同事再刷同一張卡入閘，門禁系統完全無法分辨，因為兩次刷卡的憑證編號完全相同、每次都通過驗證。這種一卡多人使用的情況，會令考勤記錄失真，亦令保安人員無法準確掌握場內實際人數，一旦發生火警或緊急事故需要點名疏散，記錄與實況不符會造成嚴重風險。

反潛回正是為解決這個問題而設計。系統為每張卡維持一個「目前狀態」欄位，只有狀態與讀卡方向相符的動作才會通過，違反邏輯次序的讀卡會被拒絕或標記為異常事件。根據 Wikipedia 對存取控制（Access control）的說明，門禁系統的核心價值在於準確記錄「誰、在何時、進出了哪個範圍」，而反潛回正是維持這項記錄準確性的關鍵補強機制，避免憑證被轉手使用而令記錄失去意義。

三種反潛回模式比較

實務上，商廈大堂、車閘等主要出入口多採用硬性反潛回以確保記錄準確；而人流密集的樓層走廊門或內部通道，則較常採用軟性反潛回，避免因單次誤判造成人流阻塞，工程師會視乎每個出入口的重要性與人流特性分別配置。

進出配對機制如何運作

反潛回不能解決的問題：尾隨（Tailgating）

反潛回是純粹依靠讀卡記錄運作的邏輯機制，它只能判斷「同一張卡的讀卡次序是否合理」，並不能辨識實際通過閘門的人數。如果兩個人共用一次有效刷卡動作一同尾隨進入，例如第一人刷卡開閘後，第二人緊隨其後在閘門關上前一同通過，系統只會記錄一次讀卡，完全無法察覺有第二人同時進入。這正是尾隨問題（Tailgating，亦稱 Piggybacking）的本質——問題出在流程與人員意識層面，而非憑證本身的合法性，單靠軟體邏輯的反潛回無法堵截。根據英文 Wikipedia 對 Piggybacking（security）的說明，尾隨是實體存取控制中極常見的社交工程手法，往往比破解憑證本身更容易得手，因為它利用的是人與人之間的禮貌與疏忽，而非系統漏洞。

要真正阻截尾隨，必須依靠硬件層面的實體措施，而非單靠反潛回這類軟體邏輯：

1. 三閘式旋轉閘（Tripod Turnstile）——每次讀卡只容許一人通過閘臂範圍，物理上阻擋第二人同時進入。
2. 防尾隨感應閘（Anti-tailgating Turnstile）——內置紅外線或雷達感應器，偵測通道內人數，若同時偵測多於一人便發出警報甚至鎖閘。
3. 連鎖門（Interlock Door / Mantrap）——由兩道門組成的緩衝區，第二道門必須在第一道門完全關閉並確認單人進入後才會開啟，常用於機房、金庫等高保安場所。
4. 影像人數核對——配合閘口攝影機作影像分析，實時比對讀卡次數與實際通過人數是否一致，異常時即時通知保安。

因此，成熟的門禁方案通常會把反潛回（軟件邏輯）與防尾隨硬件（實體措施）兩者結合使用：反潛回負責堵截憑證被轉手重複使用的問題，防尾隨硬件則負責堵截實體人數超額進入的問題，兩者針對的是完全不同層面的漏洞，缺一不可。

香港工程實務場景

在香港的商廈、屋苑與工業大廈弱電工程中，反潛回功能十分常見，但配置方式需按場地特性調整：

工程師在設計方案時，通常會先了解客戶最看重的是「記錄準確性」還是「人流暢順度」，再決定各出入口採用硬性、軟性或不設反潛回；至於出入口數目較多或分期擴建的場地，則建議及早規劃全域反潛回架構，避免日後各門之間的狀態資料庫難以整合。

權威資料依據

本文核對資料：IEC 60839-11-1；NIST SP 800-116 Rev. 1。

常見問題

延伸閱讀