.NET 5 自定义电商平台钱包功能最优实现与安全保障方案

自研钱包最高安全等级实现方案 #

• 放弃直接存储用户余额字段，仅保留不可篡改的流水明细，余额通过所有历史流水实时聚合计算得出。流水表必须包含唯一全局流水号、用户ID、交易类型（充值/退款/消费/冻结/解冻）、变动金额、关联业务单号、操作时间、操作端IP、上一条流水哈希、当前流水签名字段，所有流水仅支持插入操作，禁止任何修改、删除历史流水的行为。
• 并发控制采用乐观锁+分布式事务方案，.NET 5环境下可以通过EF Core的[Timestamp]特性标记行版本字段，每次执行资金操作前校验行版本一致性，避免超扣、重复充值等并发问题。涉及多服务联动的操作（比如订单退款同步进钱包）采用事件溯源+最终一致性机制，保证业务状态和钱包流水完全对齐。
• 增加哈希链防篡改机制：每条新增流水生成时，使用仅服务端独立存储的非对称密钥，对核心字段（用户ID、变动金额、交易类型、操作时间、上一条流水签名）做HMAC-SHA256签名，作为当前流水的签名字段存储。每次新增流水前校验上一条流水的签名合法性，定期全量扫描所有流水的哈希链完整性，一旦出现校验失败立刻触发告警。
• 所有资金变动逻辑全部在服务端实现，绝不允许前端传递任何变动金额参数。比如订单50%退款的比例，需要在服务端硬编码或者加密存储在配置中心，退款时通过关联订单的实付金额自动计算退款额度，避免参数被篡改。

注意：钱包相关的所有操作需要单独留存审计日志，日志保留周期不低于180天，所有涉及金额变动的操作必须同步给用户发送通知，方便异常场景回溯。

第三方服务商选型 #

• 你正在评估的Stripe完全支持这类场景，直接使用Stripe Balance的用户子账户功能即可实现专属钱包，充值、退款、站内消费限制都可以通过官方API配置，资金记账、防篡改、合规性都由Stripe侧兜底，你只需要做业务系统和Stripe接口的对接即可，不需要自行维护核心资金数据的安全，研发和安全成本都很低。
• 针对不同运营区域也可以选择对应合规的支付服务商，比如国内市场可以选择微信支付、支付宝的商户侧用户余额账户服务，同样支持充值、定向消费限制的需求，安全性和合规性都符合监管要求。

内容的提问来源于stack exchange，提问作者Lepruz