如何调用PayU API提交银行卡信息完成支付并自定义支付页

你找不到直接提交银行卡信息完成扣款的API是合规设计导致的，并非文档遗漏。PayU默认禁止普通商户直接收集、传输明文银行卡信息，该类直连扣款接口仅对持有PCI DSS Level 1认证的头部商户开放，未取得对应资质强行收集卡信息会触发卡组织合规处罚，直接被关停支付权限。
针对自定义支付页的需求，有两个可落地的官方支持方案，不需要跳转PayU官方页面：

方案1：嵌入式安全字段组件（推荐，合规成本最低） #

这个方案是90%以上自定义支付页场景的选择，你不需要改动已经调试完成的创建订单核心逻辑：

• 创建订单接口请求时新增两个参数：将checkout_mode设置为embedded，同时传入style_config配置项，自定义支付组件的品牌色、圆角、字体、是否展示PayU官方标识、自定义提示文案等样式规则
• 前端引入PayU官方前端JS SDK，将创建订单返回的订单编号传入SDK，SDK会将卡号、有效期、CVV三类敏感信息输入框以隔离iframe的形式渲染到你页面指定的DOM容器内
• 页面其余所有模块（订单信息展示、支付按钮、优惠模块、头尾导航等）完全由你自行开发控制样式，用户全程停留在你的域名下，不会感知到跳转
• 敏感卡信息全程由PayU托管的iframe收集加密，不会经过你的服务端，你只需要监听SDK抛出的支付成功/失败回调做后续业务逻辑即可，该方案仅需满足最低等级的PCI SAQ A合规要求，无额外审计成本

方案2：令牌化全自定义方案（适合对UI一致性要求极高的场景） #

如果连嵌入式iframe的输入框样式都需要和你全站UI100%统一，可以用令牌化接口实现：

• 你可以完全自行开发所有银行卡信息输入框的UI样式，不需要使用PayU提供的输入组件
• 前端引入PayU JS SDK，用户输入卡信息后，不要将卡号、CVV等敏感数据上传到你的自有服务端，直接通过前端SDK将卡信息直传给PayU的令牌化接口，换取一次性支付令牌（payment token）
• 你拿到有效token后，调用已调试通的订单扣款接口，将token作为支付凭证传入即可完成扣款
• 注意：该方案下卡信息绝对不能流经你的服务端，否则会触发合规风险，对应的合规要求为PCI SAQ A-EP，比方案1稍高，但远低于直传卡信息的合规要求

实操注意点 #

你现有已调试完成的创建订单逻辑不需要重构，仅需调整接口参数和前端渲染逻辑即可，不需要重新走商户资质审核流程，普通入驻商户默认就有上述两个方案的接口权限。

内容的提问来源于stack exchange，提问作者tybaslam