security - 在 PayPal 网站(而不是我自己的托管网站)上输入信用卡详细信息

Question

在为直接信用卡付款设置定期付款配置文件时，我能否让用户在 PayPal 网站上输入信用卡详细信息，而不是我自己的信用卡详细信息？

在为希望订阅我的服务的用户设置定期付款配置文件时，我目前遵循标准的定期付款流程(如 PayPal API 示例所示):

1. 使用 REST API 创建计费计划和协议(protocol)。
2. 将用户重定向到 PayPal 网站。
3. 用户在 PayPal 网站上登录/注册并在那里确认接受。
4. PayPal 将他们重定向回我的网站以最终确认计费协议(protocol)。
5. 一旦他们在我的网站上确认，就会开始计费，我们会开始收听 IPN。

但是，如果您想使用直接信用卡付款(即客户没有/想要 PayPal 资料)，您似乎必须在您的拥有网站并通过 API 调用将它们传递给 PayPal。有没有办法将信用卡详细信息捕获移动到 PayPal 网站本身？

Answer 1

是的，PayPal 支持这种安排；他们称之为 hosted pro 或 hosted sole solution。但是，它是经典的，而不是新的 REST。

PayPal 较新的直接信用卡 API 使用保险库，但我认为它们没有完全由 PayPal 托管的页面来为您避免所有 PCI 并发症。

您可能还想看看 Braintree 的解决方案，它已集成到您的页面中，但可以处理卡详细信息的加密和 token 化，因此您不必担心 PCI。