2. 支付凭证基础

在支付风控与设备绑定场景中，支付凭证是贯穿交易全链路的核心对象。它既是用户身份的载体，也是资金划转的授权依据。理解支付凭证的类型、生命周期、安全要素与攻击面，是识别绑定风险、判断异常交易、设计防护策略的前提。本节将从工程视角系统梳理支付凭证的基础知识，为后续的风险识别实战打下概念地基。

一、支付凭证的四种基本类型

支付凭证并非单一形态，而是随支付技术演进形成了多种类型。按载体与验证方式，可归纳为卡、令牌、账户、生物特征四类。

• 卡类凭证：包括实体银行卡、虚拟卡号（PAN）、卡有效期与CVV/CVN。其本质是静态或半静态的账户标识，一旦泄露可被直接用于无卡交易。卡类凭证的风险在于“可复制性”——卡号、有效期、CVV组合在网络上可被批量撞库或盗刷。
• 令牌类凭证：以（如支付令牌、设备令牌、会话令牌）为代表。令牌是卡号或账户的替代值，通常由支付网络或平台签发，具有限定使用场景、有效期和绑定设备的能力。令牌化（Tokenization）的核心价值在于：即使令牌泄露，攻击者也无法还原真实卡号，且令牌可被快速吊销。
• 账户类凭证：包括登录密码、支付密码、账户ID、绑定手机号等。账户凭证是用户与支付平台之间的信任锚点，其风险在于撞库、钓鱼和账户接管（ATO）。
• 生物特征凭证：指纹、人脸、声纹、虹膜等。生物特征具有唯一性和不可更改性，一旦泄露无法像密码一样重置。因此，生物特征通常不直接作为支付凭证传输，而是作为本地验证因子，通过安全元件（SE）或可信执行环境（TEE）生成授权结果。

二、支付凭证的生命周期

支付凭证从生成到销毁，经历完整的生命周期。理解生命周期各阶段的风险特征，是设备绑定风险识别的基础。

1. 签发（Issuance）：由发卡行、支付网络或平台生成凭证。此阶段的风险包括：批量生成规则被猜测、初始密钥强度不足、签发接口未鉴权。
2. 绑定（Binding）：凭证与用户账户、设备、应用实例建立关联。这是设备绑定风险最集中的阶段，常见攻击包括：绑定请求伪造、设备指纹篡改、中间人劫持绑定流程。
3. 激活（Activation）：凭证首次可用，通常需要短信验证码、生物验证或密码确认。风险点在于激活码可被暴力枚举、激活接口无频率限制。
4. 使用（Usage）：凭证参与交易授权。风险包括：重放攻击、令牌窃取、会话固定、交易金额篡改。
5. 更新/轮换（Rotation）：定期更换令牌或密钥。若轮换逻辑存在缺陷，旧凭证未及时失效，会导致“幽灵凭证”被利用。
6. 吊销/销毁（Revocation）：用户解绑、设备丢失或风控触发时，凭证被吊销。风险在于吊销状态同步延迟，导致已吊销凭证仍可短暂使用。

三、安全要素与常见攻击面

支付凭证的安全要素可归纳为机密性、完整性、可用性、不可否认性四个维度。围绕这些维度，攻击面主要分布在以下环节：

在设备绑定场景中，最常见的攻击面包括：

• 设备指纹伪造：攻击者通过改机工具、模拟器篡改设备ID、IMEI、MAC地址，使风控系统误判为可信设备。
• 绑定令牌窃取：通过恶意应用读取本地存储的绑定令牌，或利用备份机制导出令牌。
• 中间人攻击：在绑定流程中劫持通信，替换绑定设备公钥或篡改绑定结果。
• 重放攻击：截获绑定请求后重复发送，导致同一凭证被绑定到多个设备。
• 越权绑定：利用接口鉴权缺陷，将他人凭证绑定到自己的设备上。

四、案例复盘：一次绑定令牌泄露事件

某支付平台在设备绑定流程中，将绑定令牌存储在客户端SharedPreferences中，且未加密。攻击者通过一款恶意清理类应用获取了该文件，提取出令牌后，在另一台设备上伪造设备指纹，成功将受害者账户绑定到自己的设备，随后发起多笔小额免密支付。

复盘发现三个关键问题：

1. 令牌本地存储未加密，且未与设备硬件密钥绑定；
2. 绑定接口未校验设备指纹的一致性，仅校验令牌有效性；
3. 令牌吊销后，旧令牌在缓存中仍可继续使用长达15分钟。

修复方案包括：令牌使用硬件密钥加密存储；绑定接口增加设备指纹与令牌绑定关系校验；吊销操作实时同步至所有校验节点，并设置短缓存TTL。该案例说明，支付凭证的安全不仅取决于凭证本身，更取决于其生命周期各环节的工程实现。

# 绑定令牌校验伪代码示例
def verify_binding_(, device_fingerprint):
    record = _store.get()
    if not record:
        return False, "_not_found"
    if record.status != "active":
        return False, "_revoked"
    if record.device_fingerprint != device_fingerprint:
        return False, "device_mismatch"
    if record.expire_at < now():
        return False, "_expired"
    return True, "ok"