如何在Stripe支付流程中校验银行卡BIN是否在黑名单中？

方案1：通过Payment Element的change事件实时获取BIN并校验 #

Stripe的Payment Element提供了change事件，当用户输入银行卡信息时，Stripe会返回包含BIN（前6位）的安全数据，不会暴露完整卡号。你可以监听这个事件完成前端的黑名单校验：

// 监听Payment Element的change事件
paymentElement.on('change', (event) => {
  // 仅当用户输入有效银行卡信息时获取BIN
  if (event.paymentMethod?.card?.bin) {
    const cardBin = event.paymentMethod.card.bin;
    // 你的黑名单BIN列表
    const blacklistedBins = ['123456', '789012'];
    
    if (blacklistedBins.includes(cardBin)) {
      // 禁用提交按钮并提示用户
      document.getElementById('payment-form').querySelector('button').disabled = true;
      document.getElementById('bin-error').textContent = '该银行卡无法完成支付，请更换其他卡片';
    } else {
      // 恢复表单正常状态
      document.getElementById('payment-form').querySelector('button').disabled = false;
      document.getElementById('bin-error').textContent = '';
    }
  }
});

方案2：后端通过Webhook完成最终校验 #

前端校验仅作为用户体验优化，必须在后端做二次校验（前端黑名单可被篡改绕过）。当用户提交支付后，Stripe会发送Webhook事件（如payment_method.attached），你可以在后端解析事件中的BIN并执行校验：

以Node.js后端为例：

const stripe = require('stripe')('your_secret_key');

// 处理Stripe Webhook
app.post('/webhook', express.raw({type: 'application/json'}), async (req, res) => {
  const sig = req.headers['stripe-signature'];
  let event;

  try {
    event = stripe.webhooks.constructEvent(req.body, sig, 'your_webhook_secret');
  } catch (err) {
    return res.status(400).send(`Webhook Error: ${err.message}`);
  }

  // 处理payment_method.attached事件
  if (event.type === 'payment_method.attached') {
    const paymentMethod = event.data.object;
    const cardBin = paymentMethod.card.bin;
    const blacklistedBins = ['123456', '789012'];

    if (blacklistedBins.includes(cardBin)) {
      // 取消关联的Payment Intent（如果已创建）
      if (paymentMethod.metadata.payment_intent_id) {
        await stripe.paymentIntents.cancel(paymentMethod.metadata.payment_intent_id);
      }
      console.log(`Blocked card with BIN: ${cardBin}`);
    }
  }

  res.json({received: true});
});

关键注意事项 #

• 绝对不要尝试直接获取完整银行卡号，这会违反PCI合规要求，Stripe也会限制此类操作；
• 前端校验仅用于即时提示用户，后端Webhook校验是核心防线，避免恶意绕过；
• 如果需要更灵活的卡片输入控制，可替换为Stripe的单独card Element，同样通过change事件获取BIN，流程和上述方案一致。

内容的提问来源于stack exchange，提问作者Juan Pablo B