使用 PHP 获取和存储信用卡信息的最佳实践答案

【问题标题】：Best practices for taking and storing credit card information with PHP使用 PHP 获取和存储信用卡信息的最佳实践
【发布时间】：2010-11-27 20:28:05
【问题描述】：

我是否应该在前几个步骤（验证、审核购买）中使用会话，然后在最终提交时将信息输入数据库？

cookie 会被劫持并转化为诉讼吗？是不是太冒险了？

如果存储信用卡号，我是否需要以任何特殊方式保护我的数据库？

欢迎任何和所有的建议和个人经验。

【问题讨论】：

【解决方案1】：

信用卡问题对存储信用卡数据有严格的要求（谷歌“PCI 合规性”）。

至少有一个支付网关可以让您外包合规工作：http://www.braintreepaymentsolutions.com/

上次我查看时，您可以运行初始交易并取回令牌。该令牌可用于将来对该卡进行收费，但只能由您使用。支付网关人员负责存储实际的信用卡数据。

据我所知（而且我不会处理大量卡片），如果您需要对同一张卡片进行任意收费，这可能是最好的解决方案。

如果您只需要一些经常性费用（定期固定金额），大多数支付网关（想到的是 authorize.net）都可以为此配置。

归根结底，如果您没有处理特别大的预算，最好将卡# 存储外包出去。自己做太累了。

（编辑：至于在会话中存储东西——是的，你可能可以摆脱它，但你应该避免它。只需在提交 CC 信息时进行初始身份验证/捕获。）

【讨论】：

Authorize.net 确实有一个不错的经常性收费 API。现在使用它。是的，我们将存储信用卡号码的业务留给了 Authorize.net。否则会有太多的法律风险。
在选择网关来存储您的信用卡数据时，请记住，如果您想离开，大多数服务提供商不会将您的数据还给您。我们（Braintree）启动了信用卡数据可移植性标准来解决问题bit.ly/a2uEvm。