一、支付安全概述：支付系统面临的威胁、安全架构设计原则、合规性要求（PCI-DSS）
大家好，我是老张。在支付安全这个领域摸爬滚打了十几年，踩过的坑比走过的路还多。今天咱们聊聊支付安全最基础、也最核心的东西——你到底在防谁？怎么防？以及那些绕不开的合规红线。
说实话，很多人一上来就跟我聊加密算法、聊防火墙策略。但我觉得，做安全架构的第一步，是搞清楚你的敌人长什么样。你想想看，连对手是谁都不知道，你布的那些防线，很可能就是纸糊的。
1.1 支付系统面临的威胁：你的钱到底被谁盯上了？
我习惯把支付系统的威胁分成三类：外部攻击、内部风险、以及业务逻辑漏洞。这三类，我全都吃过亏。
核心观点： 支付安全不是防住所有攻击，而是让攻击成本远高于收益。说白了，让黑客觉得“搞你太费劲，换个目标吧”。
1.1.1 外部攻击：明枪易躲
- Web应用攻击： SQL注入、XSS、CSRF。我在项目中遇到过，一个简单的SQL注入，直接拖走了用户卡号表。嗯，那家公司后来被罚得挺惨。
- DDoS攻击： 让你的支付网关瘫痪。你想想，双十一当天系统挂了，那画面太美我不敢看。
- 中间人攻击： 在数据传输过程中窃取或篡改报文。尤其是那些还在用HTTP的接口，简直就是给黑客送钱。
- 重放攻击： 截获一次成功的支付请求，然后重复发送。我曾经见过一个案例，用户付了一笔钱，结果被重放了100次。
1.1.2 内部风险：暗箭难防
- 恶意员工： 有数据库权限的人，偷偷导出用户信息。这是最头疼的，因为内部人熟悉你的系统。
- 误操作： 运维人员不小心把生产库删了。别笑，这事真发生过，而且不止一次。
- 权限滥用： 开发人员用生产环境调试代码，结果把测试数据写进了真实交易表。
1.1.3 业务逻辑漏洞：最隐蔽的坑
- 金额篡改： 比如修改请求中的支付金额，把1000改成0.01。
- 订单替换： 支付一个低价商品，但后台关联了一个高价订单。
- 并发竞争： 利用高并发，在余额不足时同时发起多笔支付，造成“负余额”漏洞。
避坑指南： 我曾经接手过一个项目，业务逻辑漏洞占了所有安全事件的60%。为什么？因为大家都盯着防火墙和加密，却忘了“业务本身”就是最大的攻击面。记住，黑客最擅长的，就是利用你没想到的那个逻辑。
1.2 安全架构设计原则：我的“三板斧”
做安全架构，我从来不追求“绝对安全”。那玩意不存在。我追求的是“纵深防御”——就算一层被突破，还有下一层等着他。
我个人习惯，把安全架构设计浓缩成三个原则。说白了，就是我的“三板斧”。
原则一：纵深防御（Defense in Depth）
别指望单点防御。网络层、应用层、数据层、业务层，每一层都要有防护。举个例子：
- 网络层：防火墙、WAF、IPS
- 应用层：输入校验、防SQL注入、防XSS
- 数据层：加密存储、脱敏展示、访问控制
- 业务层：风控引擎、反欺诈规则、交易限额
你想想看，如果黑客突破了WAF，但数据层加密了他解不开，那他也白搭。
原则二：最小权限（Least Privilege）
每个系统、每个用户、每个服务，只给它们完成工作所需的最小权限。我见过太多公司，一个普通开发就有生产库的读写权限。这不是信任问题，这是管理问题。
- 数据库：只给应用账号必要的表权限，别给DDL权限。
- API接口：每个接口只暴露必要的数据字段。
- 员工账号：按角色分权，定期审计。
原则三：默认安全（Secure by Default）
系统的默认配置必须是安全的。用户不需要做任何额外操作就能获得基本保护。比如：
- 默认启用HTTPS，而不是HTTP。
- 默认开启CSRF防护。
- 默认对敏感字段进行脱敏展示。
我的经验： 有一次做架构评审，我发现一个支付接口的默认配置是“不校验签名”。开发说“上线时再打开”。结果呢？上线那天忘了。嗯，后来出了事故。所以我现在坚持：默认安全，没有例外。
1.3 合规性要求（PCI-DSS）：绕不开的紧箍咒
做支付系统，PCI-DSS（支付卡行业数据安全标准）是必须过的坎。这不是选择题，是必答题。你只要处理信用卡信息，就得遵守它。
PCI-DSS有12大要求，我挑几个最关键的说说：
| 要求编号 | 核心内容 | 我的解读 |
|---|---|---|
| 要求3 | 保护存储的持卡人数据 | 别存CVV2和磁条数据。存卡号？必须加密或哈希。 |
| 要求4 | 加密传输持卡人数据 | 所有涉及卡号的网络传输，必须用强加密（TLS 1.2+）。 |
| 要求6 | 开发和维护安全系统 | 代码要安全审计，第三方组件要打补丁。 |
| 要求8 | 标识和认证对系统组件的访问 | 每个用户一个账号，别共享密码。强制双因素认证。 |
| 要求10 | 跟踪和监控所有对网络资源和持卡人数据的访问 | 日志要完整，且不能被篡改。保留至少12个月。 |
| 要求11 | 定期测试安全系统和流程 | 每季度做一次漏洞扫描，每年做一次渗透测试。 |
注意： PCI-DSS不是一次性的。每年都要做合规评估。我见过一些公司，拿证的时候很认真，第二年就松懈了。结果被卡组织抽查，直接罚款加暂停收单资格。那损失，可不是几百万能打住的。
1.4 知识体系总览：一张图看懂支付安全
说了这么多，我画了一张图，把支付安全的核心逻辑串起来。你一看就明白。
这张图其实就讲了三件事：威胁是什么、怎么防、必须遵守什么。这三层缺一不可。你光知道威胁，没有设计原则，那就是瞎防。你光有原则，不满足合规，那公司分分钟被罚到破产。
我的建议： 刚入行的朋友，别急着研究那些花哨的攻击手法。先把这三层框架搭起来。框架对了，细节慢慢填。框架错了，你填再多细节也是白搭。
好了，这一章就聊到这儿。支付安全不是一蹴而就的事，它是个持续对抗的过程。你每堵上一个漏洞，黑客就会去找下一个。但只要你把基础打牢了，他们就没那么容易得手。