Agent Skills
返回列表
PCI支付数据安全合规

PCI支付数据安全合规

IT 运维与安全 更新于 2026.08.29

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_fccf428b/pci-compliance-blueprint。

技能介绍

要解决的工程问题

支付链路里最棘手的不是“能不能收单”，而是持卡数据从浏览器、App、网关、订单服务到数据库的每一段路径都可能越界。团队常在上线前才发现：默认口令没改、日志里留下了卡号、测试环境直接访问生产数据库、解密和加密没有分开、内部员工权限过大。这个技能把 PCI DSS 的十二项核心要求压缩成可执行检查清单，帮助开发者在构建支付处理系统、处理信用卡信息、设计安全支付流程、准备 PCI DSS 评估或缩减合规范围时，快速定位风险点。

技能如何工作

它按 PCI DSS 的十二项要求组织检查项，覆盖网络与防火墙、默认口令、持卡数据存储与传输、恶意软件防护、系统与应用安全、最小权限访问、身份认证、物理访问、日志与监控、安全测试、安全策略。对于需要量化的场景，技能还会区分 Level 1 到 Level 4 的合规等级，例如每年超过 600 万笔交易通常需要年度 ROC，1 到 600 万笔通常对应 SAQ，电商交易量不同门槛也不同。

在数据最小化方面，技能强调“Never Store”原则，并给出三类落地模式：使用支付机构返回的 Payment Processor Tokens、需要时实现 Custom Tokenization、对静态数据和传输数据分别应用加密。更完整的模式库和示例位于 references/details.md，适合在写代码、做审计或准备评估材料时逐项核对。

适用边界与注意点

技能不会自动安装依赖、修改系统权限、创建持久化任务或执行下载内容。涉及发送、发布、删除、付款、部署或其他外部写入时，它会先展示目标与影响，并等待明确确认。凭据只用于用户指定的对应官方服务，不回显、不记录，也不转发到无关地址。命令和代码默认作为参考，只有在你明确要求执行且目标范围清楚时才会运行。它也不适合替代 QSA 判定、正式审计或法务意见。

使用场景

  • 在设计订单服务时，需要处理信用卡信息，梳理哪些字段可以存储、哪些必须令牌化，以缩减 PCI 合规范围。
  • 准备 PCI DSS 评估前，对照十二项核心要求逐项检查系统，定位默认口令、日志泄露和传输加密等风险点。
  • 实现支付流程时，需要在网关与数据库之间应用 Tokenization 和加密，确保静态与传输数据都得到保护。
  • 审计现有支付系统时，需要区分 Level 2 或 Level 3 的合规等级，判断适用 SAQ 还是 ROC，并出具整改建议。

适合人员

  • 支付系统工程师，需要在代码和架构评审中快速识别持卡数据存储、传输和访问控制的合规风险。
  • 安全合规负责人，需要在 PCI DSS 评估或审计前获取十二项要求的可执行检查清单，并追踪整改进度。
  • 后端开发者，正在设计支付网关与数据库之间的数据最小化方案，需要 Tokenization 和加密的具体模式。
  • 技术负责人，需要在选型支付架构时评估合规等级，判断是否需要年度 ROC 或 SAQ，以及如何缩减合规范围。