在Rails中通过Stripe实现现有客户绑定支付银行卡功能

看起来你已经有了核心思路，但代码还没写完，我来帮你完善这个update_source方法，同时优化安全性和用户体验：

完整优化后的代码 #

def update_source
  @user = current_user

  # 先验证必要参数是否存在
  unless params[:stripeToken].present?
    flash[:error] = "请提供有效的支付令牌"
    redirect_to payment_settings_path and return
  end

  begin
    # 不要硬编码API密钥！用环境变量管理更安全
    Stripe.api_key = Rails.application.credentials.stripe[:secret_key]

    # 查询关联的Stripe客户
    customer = Stripe::Customer.retrieve(@user.customer_id)

    # 创建并绑定新的支付源
    new_source = customer.sources.create(source: params[:stripeToken])

    # 将新支付源设为客户的默认支付方式（关键！后续扣费会用这个卡）
    customer.default_source = new_source.id
    customer.save

    # 可选：把支付源的基本信息存在本地，方便给用户展示
    @user.update(
      card_last4: new_source.last4,
      card_brand: new_source.brand,
      card_exp_month: new_source.exp_month,
      card_exp_year: new_source.exp_year
    )

    flash[:success] = "支付方式已成功绑定"
  rescue Stripe::InvalidRequestError => e
    flash[:error] = "支付令牌无效：#{e.message}"
  rescue Stripe::AuthenticationError => e
    flash[:error] = "Stripe认证失败，请检查API密钥配置"
  rescue Stripe::APIConnectionError => e
    flash[:error] = "网络连接异常，请稍后重试"
  rescue Stripe::StripeError => e
    flash[:error] = "绑定支付方式失败：#{e.message}"
  rescue ActiveRecord::RecordNotFound => e
    flash[:error] = "用户未关联有效的Stripe客户"
  end

  redirect_to payment_settings_path
end

关键优化点说明 #

• 禁止硬编码API密钥：硬编码密钥会导致安全泄露，生产环境必须用环境变量（比如Rails的credentials或者dotenv gem）来管理敏感配置
• 参数前置验证：先检查stripeToken是否存在，避免不必要的API调用，同时给用户更及时的提示
• 异常全链路捕获：Stripe API会抛出多种类型的错误，针对性捕获后可以返回更友好的错误信息，提升用户体验
• 设置默认支付源：这是你原代码没写完的部分，创建完支付源后必须设置为默认，否则后续自动扣费或者发起支付时Stripe不知道使用哪个支付方式
• 本地存储支付源信息：把卡的后四位、品牌、有效期存在用户本地记录里，方便在用户中心展示绑定的支付方式，不用每次都调用Stripe API查询

额外提醒（前端配合） #

前端必须使用Stripe.js或Stripe Elements组件来收集银行卡信息，直接把卡号等敏感信息传到后端会违反PCI合规要求。前端通过Stripe的组件生成stripeToken后，再把这个token传给后端的update_source接口就可以了。

内容的提问来源于stack exchange，提问作者Alex Heil