POS终端EMV交易在线PIN验证实现咨询（基于Visa Cybersource）

核心执行主体划分 #

• 终端侧：仅负责按EMV规范触发PIN采集流程，在自身安全模块内加密生成PINBLOCK、同步输出对应KSN，不承担PIN正确性校验职责
• 收单处理方（即你对接的Visa Cybersource）：负责在合规HSM（硬件安全模块）内完成PIN块的格式校验、密钥转换，将加密状态的PIN数据连同交易报文透传给卡组织路由，全程不接触、不留存明文PIN
• 发卡行：是唯一具备在线PIN校验权限的主体，所有PIN正确性判断、PIN错误次数累计逻辑均在发卡行侧完成，校验结果通过授权响应报文逐层返回

全流程操作路径 #

1. 终端完成IC卡上电、应用选择、GPO（获取处理选项）流程后，解析卡片返回的AIP（应用交互特征，标签82）、CVM列表（持卡人验证方法列表，标签8E）
2. 终端按CVM列表的优先级规则逐次匹配验证条件：当判定「在线PIN」为当前交易需执行的持卡人验证方式时，自动唤起PIN输入界面，提示持卡人输入PIN
3. 持卡人输入完成后，终端内置的PCI PTS认证安全模块调用预注入的DUKPT密钥派生当前交易的工作密钥，按照约定的ISO 9564格式（常用格式0/3/4）加密明文PIN生成PINBLOCK，同时输出对应密钥序列号KSN，全程明文PIN不会流出终端安全模块
4. 终端将track2等效数据（标签57）、PINBLOCK、KSN、交易基础信息（金额、时间、终端编号）、IC卡强制TLV数据（至少包含5A卡号、9F02授权金额、9F1A终端国家代码、9F33终端性能、9F34CVM结果、9F36应用交易计数器等）打包为在线授权请求报文，发送至Cybersource
5. Cybersource收到报文后，先在自身HSM内校验PINBLOCK格式合法性，用与终端匹配的BDK（基础派生密钥）派生对应工作密钥解密PIN块，再按照Visa网络要求的PIN加密格式重新加密PIN数据，连同完整交易报文发送至Visa网络，路由至对应发卡行
6. 发卡行在自身HSM内解密PINBLOCK，与账户侧留存的PIN校验值比对，生成校验结果：PIN匹配则返回授权通过响应；PIN不匹配则返回对应拒绝码（常见码值55代表PIN错误、75代表PIN尝试次数超限）
7. 授权响应沿发卡行→Visa网络→Cybersource→终端的路径原路返回，终端根据响应码执行对应操作：交易成功则打印凭条，PIN错误且未达重试上限则回到PIN输入界面，超限或其他错误则直接提示交易拒绝

Cybersource对接注意事项 #

• 需提前开通PIN处理权限：默认的Cybersource卡交易权限不支持在线PIN报文处理，需提交商户经营资质、所用POS终端的PCI PTS认证证书，申请开通DUKPT PIN处理服务，拿到官方分配的密钥注入参数、收单路由参数后才能正常提交PIN类交易
• 终端密钥必须与平台侧匹配：终端侧加密PIN所用的根密钥必须是Cybersource提供的BDK，自行注入其他服务商密钥生成的PINBLOCK会在平台侧解密失败，直接返回报文格式错误
• 字段上报需符合规范：PINBLOCK、KSN需填入API对应的PIN处理专属字段，不要混入普通磁道交易字段；必须正确填充CVM结果TLV（标签9F34），明确标记当前交易已执行在线PIN验证，否则发卡行不会触发PIN校验逻辑，直接按无CVM交易处理，后续极易触发拒付
• 测试阶段必须使用平台提供的测试密钥、测试卡参数联调：测试环境会返回明确的PIN校验错误码，直接使用生产卡测试容易触发发卡行风控导致卡片被锁

常见合规与技术踩坑点 #

• 禁止在自有服务器、终端非安全区域解密PINBLOCK或校验PIN：该行为直接违反PCI DSS合规要求，会触发卡组织的合规处罚，严重时会被取消收单资质
• 不要遗漏TLV字段校验：很多场景下仅上传PINBLOCK和KSN但未上传9F34CVM结果、9F36应用交易计数器等强制标签，会导致发卡行直接拒交
• 提前对齐PINBLOCK格式：ISO 9564不同格式的填充规则存在差异，终端生成PINBLOCK的格式必须和Cybersource后台配置的格式一致，否则解密后的PIN为乱码，发卡行校验必然失败

内容的提问来源于stack exchange，提问作者BigFire