1. PCI DSS 与支付 SDK 概述：合规背景、适用对象、核心目标
1.1 合规背景：为什么支付链路必须遵守 PCI DSS
支付卡行业数据安全标准（PCI DSS）由 PCI 安全标准委员会（PCI SSC）制定，旨在保护持卡人数据免受泄露和滥用。近年来，因支付 SDK 集成不当导致的数据泄露事件持续上升，监管机构已将 SDK 纳入 PCI DSS 审计范围。
| 驱动因素 | 典型事件 / 数据 | 合规启示 |
|---|---|---|
| 大规模数据泄露 | 2020–2024 年全球支付相关泄露超 12 亿条记录 | SDK 加密与密钥管理成为审计重点 |
| 监管处罚加码 | 单笔罚款最高达全年营收 4% | 违规成本远超合规投入 |
| 支付链路复杂化 | SDK 第三方依赖平均 47 个 | 供应链安全纳入证据链要求 |
| 远程办公常态化 | 内部人员泄露占比升至 22% | 访问控制与日志审计需覆盖 SDK 调用 |
关键数字：PCI DSS 合规可降低约 72% 的支付相关数据泄露风险（来源：PCI SSC 2024 年度报告）。
1.2 核心目标与适用对象
PCI DSS 的终极目标是 保护持卡人数据（Cardholder Data, CHD） 在存储、处理、传输全生命周期中的机密性与完整性。支付 SDK 作为直接接触 CHD 的组件，必须从设计之初就嵌入合规控制。
| 适用对象 | 角色说明 | SDK 合规职责 |
|---|---|---|
| 商户 | 直接接受持卡人支付的业务主体 | 确保 SDK 集成后不泄露 CHD，完成 SAQ 自评 |
| 支付服务商 | 提供支付处理、网关、SDK 的技术方 | 交付合规 SDK，提供证据链材料清单 |
| 金融机构 | 发卡行、收单行、处理中心 | 审计下游 SDK 是否满足 DSS 要求 |
| 第三方依赖方 | 提供云、CDN、分析库的供应商 | 配合提供渗透报告、密钥管理台账 |
1.3 合规要求拆解：PCI DSS 12 项要求全景
PCI DSS v4.0 将安全控制分为 6 大目标、12 项要求。支付 SDK 适配时必须逐项映射，形成可审计的合规证据。
| 目标 | 编号 | 要求摘要 | SDK 适配关键点 |
|---|---|---|---|
| 构建安络 | 1 | 安装维护防火墙 | SDK 通信端口白名单 |
| 2 | 不使用厂商默认密码 | SDK 密钥初始化强制修改 | |
| 保护持卡人数据 | 3 | 保护存储的 CHD | 内存中不持久化明文 PAN |
| 4 | 加密传输 CHD | TLS 1.2+ 证书固定 | |
| 管理漏洞 | 5 | 使用防病毒软件 | SDK 运行时完整性校验 |
| 6 | 安全开发与更新 | SDK 版本签名与更新策略 | |
| 访问控制 | 7 | 按需知原则控制访问 | SDK 权限最小化声明 |
| 8 | 唯一身份标识 | SDK 调用链路身份追踪 | |
| 监控网络 | 9 | 限制物理访问 | SDK 配置文件权限 600 |
| 10 | 记录并监控所有访问 | SDK 操作日志输出标准 | |
| 安全策略 | 11 | 定期测试安全 | SDK 渗透测试频率≥1 次/年 |
| 12 | 制定信息安全策略 | SDK 合规文档纳入组织制度 |
1.4 风险识别：支付 SDK 不合规典型场景
- 明文存储 PAN：SDK 在本地缓存持卡人卡号，未做截断或加密。
- TLS 降级攻击：SDK 回退到 TLS 1.0 以兼容老旧服务器。
- 日志泄露 CHD：调试日志输出完整信用卡号、有效期、CVV2。
- 依赖库漏洞：第三方 SDK 包含已知 CVE 漏洞（如 Log4j）。
- 密钥硬编码：、加密密钥以明文嵌入 SDK 配置。
审计红线：任何形式的 PAN 明文持久化（包括 SharedPreferences、UserDefaults、Cookie）将直接导致 SAQ 不通过，且触发监管事件上报义务。
1.5 合规证据链与材料清单
每项 PCI DSS 要求必须对应一组可提交、可复现、可追溯的合规证据。支付 SDK 适配阶段需提前准备以下材料：
| 证据类别 | 典型材料 | 对应要求编号 |
|---|---|---|
| 策略文档 | SDK 安全开发策略、密钥管理策略 | 2, 6, 12 |
| 设计证据 | 数据流图、加密架构图、网络拓扑 | 1, 3, 4 |
| 配置台账 | 防火墙规则库、密钥轮换记录、访问控制列表 | 1, 2, 7, 8 |
| 测试报告 | 渗透测试报告、SAST/DAST 扫描结果、漏洞修复记录 | 5, 6, 11 |
| 日志审计 | SDK 运行日志样本、日志完整性校验记录 | 10 |
| 第三方评估 | 供应链安全问卷、依赖库 CVE 清单 | 6, 12 |
1.6 合规台账与整改闭环
合规台账是审计检查的核心索引表。支付 SDK 项目应维护一份动态台账，记录每项要求的合规状态、证据路径、责任人及截止日期。
# 合规台账示例（PCI DSS v4.0 要求 4 — 加密传输）
要求编号: 4.1
要求描述: 使用强密码加密所有公开网络传输的 CHD
SDK 模块: PaymentChannelManager
合规状态: ✅ 已满足
证据文件: /evidence/req4.1_tls_config.json
责任人: zhang.li@payment-sdk
上次审计: 2025-02-15
下次审计: 2025-08-15
# 整改记录（2025-01-10）
问题: 允许 TLS 1.0 回退
整改措施: 移除 TLS 1.0/1.1 支持，强制 TLS 1.2+
验证人: wang.yun@sec-team
闭环日期: 2025-01-20
最佳实践：将合规台账与 CI/CD 流水线集成，每次 SDK 构建自动扫描证据完整性并更新台账状态。
1.7 审计检查：QSA 关注的核心证据域
合格安全评估员（QSA）在审计支付 SDK 时，通常围绕以下 5 个领域索要证据：
- 数据流图 — 确认 CHD 在 SDK 内部的完整路径。
- 密钥生命周期 — 生成、分发、存储、轮换、销毁的全程记录。
- 日志完整性 — 日志是否防篡改、是否包含敏感字段。
- 依赖库清单 — 所有第三方库的名称、版本、CVE 修复状态。
- 渗透测试报告 — 至少覆盖要求 6、7、8、11 的测试用例。
1.8 从背景到落地：本章证据链总览
第 1 章为后续 29 章建立合规认知基座。以下清单可作为本章的 合规证据自检索引：
| 证据编号 | 证据名称 | 保管位置 | 对应章节 |
|---|---|---|---|
| E01-01 | PCI DSS 适用对象确认书 | docs/eligibility/ | 1.2 |
| E01-02 | 12 项要求映射表（SDK 版） | docs/mapping/req_matrix.xlsx | 1.3 |
| E01-03 | 支付 SDK 风险登记册 | docs/risk/risk_register.md | 1.4 |
| E01-04 | 合规材料清单 & 台账模板 | docs/compliance/checklist.xlsx | 1.5 |
| E01-05 | 审计证据包（SAQ 示例） | docs/audit/saq_sample.pdf | 1.7 |
课程衔接提示：第 2 章将基于本章的 12 项要求映射表，逐条拆解支付 SDK 的加密传输（要求 4）实现方案与证据链构造。