开发带在线支付的Web应用：信用卡卡号应存储于何处？

首先明确结论：绝对不能将信用卡信息存储在浏览器Cookie中，加密后存入后端数据库是相对安全的选项，但更推荐使用支付服务商的令牌化方案替代直接存储敏感信息。

为什么不能用Cookie存储？ #

• Cookie是客户端存储的数据，哪怕做了加密，也存在被窃取的风险——比如遭遇XSS攻击、用户设备被入侵时，加密后的信息可能被获取并破解。
• Cookie会随每一次HTTP请求自动发送到服务器，增加了传输过程中的泄露风险，而且支付行业合规标准（如PCI DSS）明确禁止这种存储方式。
• Cookie的存储容量有限，不适合存放加密后的信用卡这类较长的敏感数据。

数据库存储的注意事项 #

如果确实有必要存储信用卡信息，必须做到：

• 使用AES-256级别以上的强加密算法对卡号、有效期等敏感字段加密，注意CVV（安全码）绝对不要存储，PCI DSS明确禁止存储该字段。
• 加密密钥必须和数据库分离存储，比如用专门的密钥管理服务（KMS），绝对不能把密钥硬编码在代码或配置文件里。
• 数据库要严格设置访问权限，只允许必要的服务账号访问加密后的信用卡数据。

更优方案：令牌化 #

目前主流支付服务商都提供令牌化服务：用户首次输入信用卡信息后，支付服务商返回一个无意义的唯一令牌（Token）给你的应用，你只需存储这个令牌，后续支付直接用令牌调用支付接口即可，无需接触真实的信用卡信息。这种方式彻底规避了存储敏感数据的风险，同时完全符合PCI DSS合规要求，是当前最安全的实践。

内容的提问来源于stack exchange，提问作者Nathan