在 Flutter 应用程序中使用 Stripe 保持 PCI 兼容

Question

我正在将 Stripe 集成为支付网关，我正在查看它在锡上写的 flutter_stripe 包

简化的安全性：我们让您可以轻松收集信用卡号等敏感数据并保持 PCI 合规性。这意味着敏感数据会直接发送到 Stripe，而不是通过您的服务器。有关详细信息，请参阅我们的集成安全指南。

所以我期待一个集成直接调用 Stripe sdk，就像我在我的 Nodejs 服务器中一样，我在其中创建 PaymentIntent，如 Stripe 自定义流程指南中所述

创建一个 PaymentIntent 在您的服务器上添加一个创建 PaymentIntent 的端点。 PaymentIntent 跟踪客户的支付生命周期，跟踪任何失败的支付尝试，并确保只向客户收取一次费用。在响应中返回 PaymentIntent 的客户端密码以在客户端完成支付。 （服务器）

使用 Stripe.js 通过确保将付款详细信息直接发送到 Stripe 而不会访问您的服务器来保持 PCI 合规性。 （客户）

并在我的 Flutter 应用程序中确认 PaymentIntent 而不点击尝试服务器。

我期待在他们的 API 中找到与 Stripe 节点 sdk 等效的东西

const paymentIntent = await stripe.paymentIntents.confirm(
  'pi_1EUq4543klKuxW9fVKimzjFV',
  {payment_method: 'pm_card_visa'}
);

但我只找到了方法

Future<PaymentIntent> confirmPayment( String paymentIntentClientSecret,PaymentMethodParams data,[ Map<String, String> options = const {},])

会的

使用提供的 paymentIntentClientSecret 和数据确认付款方式。 有关详细信息，请参阅 PaymentMethodParams。该方法返回一个 PaymentIntent。确认支付方式失败时抛出 StripeException

我从他们的示例应用程序中看到，他们使用服务器来注册客户，从而使 PCI 合规性付诸东流，对吗？

https://github.com/flutter-stripe/flutter_stripe/blob/main/example/server/src/index.ts

我确定我不了解该软件包，但他们的 API confirmPayment 只是将 paymentMethod 广告到 PaymentIntent。

任何解释都会很有帮助。 干杯

Answer 1

由 PCI 管理的敏感信息（即原始卡数据）直接从客户端发送到 Stripe。 Stripe 创建了一个 Payment Method 来表示该数据 (pm_) 并将其返回给客户端，以便可以从那里引用它。

但是，支付意图必须在安全上下文中使用秘密或受限 API 密钥在服务器端创建，然后支付意图的客户端秘密应发送到客户端以允许客户端确认。

The section about validating your PCI compliance in Stripe's integration security guide 有更多信息。