使用PHP版PayPal SDK避免重复存储银行卡（无卡信息权限）

• 支付流程：
  1. 创建订单；
  2. 通过PayPal SDK渲染卡字段，用户输入卡信息完成扣款（客户端无完整卡信息权限）；
  3. 扣款成功后，自动将卡关联到客户ID存入PayPal Vault。
• 当前问题：同一用户重复输入同一张卡时，Vault会生成重复的托管卡记录。
• 需求：禁止同一张卡重复存入Vault，且客户端无法直接获取完整卡号用于比对。

$payment_source = $customer_exist ? [
  "card" => [
    "attributes" => [
      "customer" => [
        "id" => $customer_id,
      ],
    ],
    "vault" => [
      "store_in_vault" => "ON_SUCCESS",
      "usage_type" => "PLATFORM",
      "customer_type" => "CONSUMER",
      "permit_multiple_payment_tokens" => true,
    ],
    "verification" => [
      "method" => "SCA_ALWAYS",  // or "SCA_WHEN_REQUIRED"
    ]
  ],
  "experience_context" => [
    "shipping_preference" => "NO_SHIPPING",
    "return_url" => isset($return_url) && $return_url ? $return_url : "https://example.com",
    "cancel_url" => "https://example.com"
  ]
] : null;

I set "permit_multiple_payment_tokens" => false to prevent multiple tokens, but this didn't resolve the issue.

1. 澄清permit_multiple_payment_tokens的作用 #

这个参数的功能是允许同一客户存储多张不同的卡，而非阻止同一张卡生成重复令牌，所以设为false无法解决重复存储问题。

2. 改用手动存储流程，先校验再存入 #

放弃自动存储（store_in_vault: ON_SUCCESS），改为扣款后手动校验并存储，步骤如下：

• 步骤1：创建订单时移除自动存储配置
  订单创建时只保留扣款逻辑，删除vault相关参数，避免自动触发存储。
• 步骤2：扣款成功后提取卡的脱敏信息
  从PayPal返回的订单支付详情中，获取该卡的脱敏标识：last_digits（卡号后四位）、brand（卡组织，如Visa、MasterCard）、expiry_month、expiry_year。这些信息是PayPal允许返回的，无需完整卡号权限。
• 步骤3：查询客户已存储的所有Vault卡
  调用PayPal的GET /v1/vault/payment-tokens API，传入客户ID作为过滤条件，获取该客户名下所有已存储卡的脱敏信息。
• 步骤4：比对脱敏信息，决定是否存储
  将步骤2获取的卡信息与步骤3返回的已存储卡逐一比对：
  • 如果存在匹配的卡（后四位、卡组织、有效期完全一致），则跳过存储；
  • 如果无匹配，调用POST /v1/vault/payment-tokens API，手动将该卡关联到客户ID存入Vault。

3. 利用PayPal自动去重机制（备选方案） #

如果坚持使用自动存储，可尝试将store_in_vault设为USER_ACTION_REQUIRED而非ON_SUCCESS，让PayPal在支付流程中自动识别该卡是否已关联当前客户。不过这个方法可靠性不如手动校验，建议优先采用手动存储方案。

内容的提问来源于stack exchange，提问作者Kamran Ali