Какие параметры вы бы добавили в QR-код?

Состав QR-кода зависит от сценария. Обычно лучше поместить короткую HTTPS-ссылку с непрозрачным идентификатором и версией, а чувствительные данные и правила хранить на сервере.

Для одноразового действия можно использовать случайный токен с ограниченным сроком и серверной проверкой использования; для публичной страницы срок может быть не нужен. Не кладите в QR пароль, полный профиль или произвольные права доступа. Если данные самодостаточные, нужна проверка подписи и назначения, но подпись не скрывает содержимое от сканирующего. Уточните, должен ли код работать офлайн, допускается ли повторное сканирование и кто его выпускает — без этого нет единственного правильного набора параметров.