处理网站上的银行信息（不存储）

Posted 2023-02-22

【中文标题】处理网站上的银行信息（不存储）

【英文标题】：Handling Bank information on Website (Not Storing)

【发布时间】：2020-12-01 21:07:40

【问题描述】：

我的网站使用 MEAN 堆栈并通过 HTTPS 访问。我希望用户输入他们的银行帐户详细信息，但我不想存储银行详细信息（因为我认为可能存在责任和安全问题）。然后，这些信息将被发送到第三方网站，例如 Transferwise，我可以在那里向用户的银行账户汇款。

我的问题是，当我的网站上有用户输入数据时，我需要采取任何安全预防措施吗？

【问题讨论】：

通常更容易将客户重定向到支付网站（例如，paypal）或将支付表单嵌入到应用程序的 iframe 中。这样一来，银行帐户就不会发送到您的应用程序，您也不必担心与在应用程序中包含此类信息相关的安全问题。

【参考方案1】：

您提出了一个非常广泛的问题，因此将得到一个广泛的答案作为回报。不在数据库中保留任何数据有很大帮助，但由于在服务器端记录敏感数据或服务器/TLS 配置错误，您仍然可能失败。

您可能希望符合PCI DSS 标准（或者至少要知道存在这样的事情以及您的应用程序与此标准的关系）。满足 OWASP ASVS 至少 1 级的要求也很好。