在 Rails 中使用 Braintree 的同时符合 PCI 标准，我可以在本地存储什么？答案

【问题标题】：What can I store locally while still being PCI Compliant using Braintree in Rails?在 Rails 中使用 Braintree 的同时符合 PCI 标准，我可以在本地存储什么？
【发布时间】：2011-05-28 14:03:57
【问题描述】：

如果我依靠 Braintree 进行支付处理，我可以存储哪些信用卡信息同时仍符合 PCI 标准？

我问的原因是，作为一个简单的优化，如果客户已经用信用卡从我的商店购买了东西，我可以向他们显示他们信用卡的最后 4 位数字和卡类型，而无需必须对 BrainTree 进行 API 调用。如果他们想换卡或购买，我必须打电话，但对于那一页，我不会。

问题是，我可以存储吗：

信用卡的最后 4 位数字
和卡片类型
可能还有持卡人姓名

或者在哪里可以查看 PCI 合规性“注意事项”列表？

【问题讨论】：

标签： ruby-on-rails activemerchant pci-compliance braintree

【解决方案1】：

是的，存放这些东西很好。

查看PCI Quick Reference Guide，简要了解您应该做什么和不应该做什么。

【讨论】：

【解决方案2】：

如前所述，存储该数据是可以的。

关于“注意事项”，查看开放 Web 应用程序安全项目 (owasp.org) 是值得的。特别是，请查看他们的 OWASP 指南（可在此处获得 http://prdownloads.sourceforge.net/owasp/OWASPGuide2.0.1.pdf?download），了解如何开发安全的 Web 应用程序。从第 53 页开始，它们涵盖了 PCI 合规性和最佳实践。

【讨论】：

【解决方案3】：

我会使用 attr_encrypted gem 之类的东西来保护数据库中的数据（请参阅https://github.com/shuber/attr_encrypted）。

【讨论】：

谢谢，看起来不错。真的！除了有人说它完全不安全的问题！ github.com/shuber/attr_encrypted/issues/32。请改用github.com/danpal/attr_encrypted。