MOTO支付使用已保存银行卡信息的合规性及通用流程规则问询

核心结论 #

符合合规要求的前提下，允许调用已保存的银行卡信息发起MOTO支付，不需要手动重录完整卡号、有效期。

通用规则要求 #

• 卡组织强制规则：Visa、Mastercard等主流卡组织的MOTO交易规范明确，对于已获得持卡人首次授权、合规留存的银行卡信息，后续同持卡人发起的MOTO交易可直接调用留存的脱敏卡信息，仅需补充输入CVV（即你提到的CCV）即可发起交易。需特别注意：所有卡组织均禁止商户留存CVV信息，因此每次发起交易都必须手动录入该字段，无法通过已存信息自动填充。
• 信息留存合规要求：留存银行卡信息需满足PCI DSS安全标准，若使用支付服务商提供的Token化存卡能力（即商户本地仅存储卡的唯一标识Token，不存储真实卡号、有效期等敏感信息），PCI合规责任将转移到支付服务商侧，属于合规操作。
• 交易风控要求：发起支付前需完成持卡人身份核验，可通过核对预留手机号、联系地址、历史交易信息等方式确认是持卡人本人致电，降低非本人交易带来的拒付风险。

Stripe适配操作说明 #

你使用Stripe API的场景下，已保存的银行卡对应PaymentMethod对象，发起MOTO支付时仅需在创建PaymentIntent时指定对应PaymentMethod的ID，同时将payment_method_options[card][moto]参数设置为true，座席手动录入用户提供的CVV后即可提交支付，无需重新录入全量卡号、有效期。

内容的提问来源于stack exchange，提问作者Roffers