[23] PCI DSS v4.0：把支付合规当作产品边界

• 原始来源：https://www.pcisecuritystandards.org/document_library/?category=pcidss&document=pci_dss
• 对应章节：第 12 章（付费与风控）、第 20 章（合规与伦理）

一句话摘要

PCI DSS 是一套面向支付卡数据的安全要求。你不必把自己变成合规专家，但必须在产品与架构层面回答：哪些数据进入你的系统、哪些永远不该进入、以及最小化持卡数据接触面。

产品视角：你要先做的三件事

• 划边界：你的产品是否需要接触卡号/CVV/磁道等敏感数据？如果不需要，就设计成永远不接触（把支付交给合规的第三方）。
• 给团队一个默认答案：哪些日志/截图/客服工单里禁止出现敏感信息（否则无意泄露会成为最大风险）。
• 把风控与止损写进体验：异常用量、盗刷、拒付争议，最终都会体现在用户流程里，而不是只体现在财务里。

工程落地要点（可执行）

• 避免存储敏感支付数据：让支付信息在第三方支付/计费系统内闭环，你只保存必要的交易引用与状态。
• 审计与追溯：计费相关关键事件必须可追溯（谁触发、何时、对什么订单、结果如何）。
• 最小权限与隔离：把计费/账本/对账作为高风险域，权限更严格、审计更完整、回滚更可执行。

常见误用提醒

• 先做再说：支付上线后再补合规与风控，成本会指数级上升。
• 把合规当文档：真正有用的是边界与默认行为（不收集、不落盘、不出现在日志/工单里）。