# 支付中的令牌化是什么？2026 年 SaaS 指南 > 面向创始人的支付令牌化说明：了解其工作方式、为何能缩小 PCI 范围、网络令牌与保险库令牌的区别，以及如何在不构建卡片保险库的情况下启用令牌化。 - **Author**: Ayush Agarwal - **Published**: 2026-07-14 - **Category**: Payments, Security, SaaS - **URL**: https://dodopayments.com/blogs/zh/payment-tokenization --- 支付令牌化会用一个称为令牌的随机替代值替换真实卡号，因此实际卡片信息永远不会接触你的服务器、日志或数据库。如果你是因为搜索"支付中的令牌化是什么"而来到这里，那么这句话就是核心概念。本指南的其他内容将介绍它为什么重要、不同令牌类型的工作方式，以及如何在不自行构建卡片保险库的情况下实现令牌化。 令牌化是几乎所有现代结账流程背后的静默基础设施。它让 SaaS 产品能够为续费保存"已存卡片"，让回头客一键完成扣款，也让你无需拥有十人规模的安全团队即可通过 PCI 审计。如今，在成熟市场中，大约 90% 的非面对面卡交易都以某种形式使用令牌化，而卡组织也已将其作为存储凭证的默认方式。对创始人来说，理解令牌化与其说是学习密码学，不如说是决定由谁承担风险。 本指南将介绍支付令牌究竟是什么、网络令牌与保险库令牌的区别、令牌化如何缩小你的 PCI DSS 范围、它在更广泛的支付流程中处于什么位置，以及如何通过服务商启用令牌化，而不是自行构建卡片保险库。 ## 支付令牌究竟是什么 支付令牌是一种替代值，可以映射回真实卡号，但只有在由支付服务商或卡组织控制的安全系统内部才能完成映射。令牌本身对攻击者没有用处：没有令牌化系统的访问权限，就无法将其还原为原始卡号；而且令牌通常会限定使用范围，只能用于特定商户或特定交易类型。 一个简单的例子可以帮助你理解。客户在结账时输入卡号 `4242 4242 4242 4242`。服务商不会让你的应用存储这个号码，而是将其存入经过强化保护的保险库，并返回一个类似 `tok_9f2b7c14a8` 的令牌。此后，你的数据库中只会保存这个令牌。当你需要再次向客户扣款时，只需发送令牌，服务商会在后台将其替换为真实卡号。 优秀令牌的重要特性包括： - **保留格式或不透明**，可以适配你的系统，同时不暴露卡片数据。 - **无法从原始卡号通过数学方式推导出来**。 - 通常会**限定到特定商户**，因此从一个商户处窃取的令牌无法在另一个商户处重放。 - 可以是**一次性或多次使用**，具体取决于你是在保护单笔交易，还是在保存已存卡片。 令牌化不同于加密。加密会将数据转换为可以通过密钥还原的密文，因此从法律和合规角度看，加密后的卡片数据仍然是卡片数据。令牌与卡片之间不存在数学关系，这正是令牌可以离开安全环境、存放在普通应用数据库中的原因。 ## 令牌化与加密：真正重要的区别 团队经常交替使用这两个词，但二者的区别会改变你的合规义务。 | 属性 | 加密 | 令牌化 | | ------------------ | -------------------------- | ------------------------------ | | 与原始数据的关系 | 可通过密钥还原 | 不存在数学关系 | | 可以安全存放的位置 | 仅限安全边界内 | 应用中的任意位置 | | 主要用途 | 保护传输中和静态存储的数据 | 将卡片数据从你的系统中彻底移除 | | 对 PCI 范围的影响 | 可以缩小，但数据仍在范围内 | 可以将你的系统移出范围 | | 失效模式 | 密钥泄露会暴露所有数据 | 令牌泄露后基本没有用处 | 实际结论是：加密会在卡片经过安全边界时保护它，而令牌化则会将卡片从你的系统中移除，从根本上减少需要保护的内容。大多数现代技术栈会同时使用二者：卡片通过加密传输至服务商，然后被令牌化，因此你的基础设施永远不会存储原始卡号。 ## 网络令牌与保险库令牌 并非所有令牌都一样，这种差异影响的不只是安全性，还有可靠性。 **保险库令牌（也称 PSP 令牌或收单机构令牌）**由你的支付服务商创建并存储。服务商会将真实卡片保存在自己的保险库中，并提供一个只能在其环境内使用的令牌。这是最常见的形式，也是大多数 SaaS 结账流程中"稍后保存卡片"功能的基础。 **网络令牌**由卡组织（Visa、Mastercard 等）直接签发，而不是由服务商签发。卡组织不会存储原始卡片，而是保存一个与底层账户关联的网络级令牌。它的优势非常明显：当客户的实体卡被重新签发、丢失或过期时，网络令牌通常仍可自动保持有效，因为它指向的是账户，而不是某一张具体卡片。这会直接减少因续费失败导致的非自愿流失。 | 维度 | 保险库令牌 | 网络令牌 | | -------------------------- | ---------------- | -------------------------- | | 签发方 | 支付服务商 | 卡组织（Visa、Mastercard） | | 卡片重新签发后是否有效 | 否，需要重新输入 | 通常可以，自动更新 | | 在不同服务商之间的可移植性 | 低 | 更高 | | 授权率 | 标准 | 通常更高 | | 最适合 | 快速保存已存卡片 | 大规模减少续费失败 | 对于订阅业务来说，网络令牌很重要，因为大量续费失败并不是"余额不足"，而只是卡片发生了变化。将令牌化与完善的重试逻辑结合起来，是保护经常性收入最有效的方法之一。我们的[支付失败导致的非自愿流失指南](https://dodopayments.com/blogs/involuntary-churn-failed-payments)对此有更深入的介绍。 ## 令牌化如何缩小你的 PCI DSS 范围 创始人关注令牌化的最大原因就是 PCI DSS。《支付卡行业数据安全标准》规定了企业处理持卡人数据的方式，而你的合规义务范围会随着接触你系统的卡片数据量增加而扩大。 如果你的服务器曾经查看、处理或存储过原始卡号，你就会进入更严格的合规级别，可能需要详细审计、网络分段、季度扫描和正式文档。对于小团队来说，这既昂贵又缓慢。 令牌化改变了这个局面。当卡片由服务商的托管字段或 SDK 直接采集，而你的系统始终只处理令牌时，原始卡号就不会进入你的环境。这样你可能符合最轻量级的自我评估问卷要求，大幅降低审计负担。你并没有完全免除 PCI 责任，但可以将其从"证明整个基础设施都是安全的"缩小为"证明你正确集成了服务商"。 这与结账流程的构建方式密切相关。在内嵌字段或托管结账中，于数据入口处完成令牌化，可以让卡片数据远离你的后端。我们的[内嵌式结账与托管式结账对比](https://dodopayments.com/blogs/inline-vs-hosted-checkout)介绍了每种方案如何影响 PCI 范围和转化率。若想了解更广泛的背景，请参阅[支付网关的工作方式](https://dodopayments.com/blogs/how-payment-gateway-works)。 > 创始人经常认为 PCI 合规是以后再解决的法律问题。但实际上，它是你在第一天就要做出的架构决策。如果你在边缘完成令牌化，并且从不让原始卡片进入系统，大部分合规负担都会自然消失。 > > \- Ayush Agarwal，Dodo Payments 联合创始人兼 CPTO ## 令牌化在支付流程中的位置 令牌化并不是一个独立步骤，而是贯穿支付生命周期。以下是典型已存卡片流程中的令牌化过程。 ```text 客户在托管字段或 SDK 中输入卡片信息 -> 服务商在其安全边界内采集原始卡片 -> 服务商将卡片令牌化，并向你的应用返回令牌 -> 你的应用仅存储与客户关联的令牌 -> 未来扣款时，你的应用发送令牌 -> 服务商在内部将令牌还原，并通过卡组织完成授权 -> 网络令牌（如有使用）让凭证在卡片重新签发后仍保持有效 ``` 关键在于，你的应用逻辑永远不需要根据真实卡片发生变化。你存储客户、关联令牌，然后向令牌发起扣款。这正是订阅、[按用量计费](https://dodopayments.com/blogs/usage-based-billing-saas)和一键重复购买能够实现的原因，同时无需你自行处理敏感数据。 令牌化还支撑着许多创始人习以为常的功能： - 为回头客提供**已保存卡片**，加快结账速度。 - **经常性计费**，按计划使用同一支付凭证扣款。 - **[幂等重试](https://dodopayments.com/blogs/idempotency-keys-payment-api)**，无需重新收集卡片数据即可安全地再次尝试扣款。 - **多币种和跨境扣款**，让已保存的支付凭证能够跨市场使用；相关内容请参阅我们的[跨境支付指南](https://dodopayments.com/blogs/cross-border-payments-guide)。 ## 超越合规的安全优势 PCI 范围是最显眼的优势，但令牌化还能以其他重要方式改善安全状况，即使没有审计要求也同样如此。 **缩小数据泄露影响范围。**如果你的数据库遭到入侵，攻击者拿到的是令牌，而不是卡片。限定到特定商户的令牌无法在其他地方重放，因此被盗数据几乎没有转售价值。这是一种结构性防护，而不是事后补丁。 企业买家也会采用相同的替换逻辑，只是方向相反。他们的应付账款平台会签发[锁定到单张发票的一次性虚拟卡号](https://dodopayments.com/blogs/b2b-virtual-card-payments)，因此泄露的号码对攻击者几乎没有价值。这是将令牌化从结账层延伸到了采购层；如果你销售 B2B 产品，无论是否主动要求，最终都会收到这类卡号。 **缩小团队的攻击面。**从未进入系统的卡号，不可能被工程师意外写入日志。支持人员也无法看到完整卡号。不存在的数据自然不会泄露。 **更清晰的职责分离。**你的服务商专注于通过硬件安全模块和严格的访问控制保护持卡人数据，而你专注于产品。令牌化让这种分工成为可能。 这些优势并不意味着你可以忽视基本安全。你仍然需要用于持卡人身份验证的 [3D Secure](https://dodopayments.com/blogs/3d-secure-3ds-payment-authentication)、风险防控和合理的访问控制。但令牌化会将最危险的一类数据从你的环境中移除。 ## 自建还是购买：为什么大多数团队不应自行构建保险库 从技术上说，你可以自行构建卡片保险库和令牌化服务。但几乎所有早期团队都不应该这样做。合规的保险库需要硬件安全模块、PCI Level 1 认证、密钥管理、渗透测试和持续审计。在处理巨大交易量并且有明确理由直接持有支付凭证之前，这些成本和专业能力通常都不值得投入。 更务实的方式是使用能够替你完成令牌化、并通过 API 和 SDK 提供令牌的服务商。使用 [Dodo Payments](https://dodopayments.com) 时，卡片会在 PCI DSS Level 1 环境中被采集并令牌化，而你的应用始终只处理令牌。这样，你无需运营保险库或承担最严格的合规级别，就能获得已保存卡片、订阅和一键结账功能。 如果你想深入了解具体机制，Dodo 的文档介绍了[订阅计费](https://docs.dodopayments.com/features/subscription)、[结账集成](https://docs.dodopayments.com/developer-resources/integration-guide)以及用于处理卡片更新和扣款失败等生命周期事件的 [webhooks](https://docs.dodopayments.com/developer-resources/webhooks)。如果你正在比较不同服务商，可以参考我们的[支付网关对比](https://dodopayments.com/blogs/payment-gateway-comparison)以及[交换费说明](https://dodopayments.com/blogs/interchange-fees-explained)，进一步了解成本。 ## 应避免的常见令牌化错误 即使服务商负责处理复杂工作，团队仍然会遇到一些常见问题。 - **"暂时"存储原始卡号。**不存在安全的"暂时"。只要卡片接触过你的后端，你就会进入更严格的 PCI 级别。应在数据入口处完成令牌化。 - **认为令牌可以跨服务商使用。**保险库令牌通常只能与签发它的服务商一起使用。迁移服务商往往意味着重新收集卡片，或采用合规的迁移路径。 - **忽视订阅业务中的网络令牌。**如果你运行经常性计费却跳过网络令牌，就会因为卡片重新签发而损失更多本可挽回的续费。 - **不谨慎地记录令牌元数据。**令牌比卡片更安全，但你仍应避免将其与可能帮助攻击者的标识符一起写入日志。 如果处理得当，令牌化对客户来说是无感的，却能悄然从你的业务中移除一整类风险。 ## 常见问题 ### 用简单的话说，支付中的令牌化是什么？ 令牌化会用一个称为令牌的随机替代值替换真实卡号。只有在服务商的安全系统内部，令牌才能映射回卡片，因此你的服务器不会存储实际卡号。这样既能让敏感数据远离你的系统，又能继续向客户扣款。 ### 令牌化和加密是一回事吗？ 不是。加密会以一种可以通过密钥还原的方式扰乱数据，因此加密后的卡片数据仍然是卡片数据。令牌与原始卡片之间不存在数学关系，所以可以安全地存放在普通数据库中；除非能够访问令牌化系统，否则无法将其还原为卡号。 ### 令牌化会自动让我符合 PCI 合规要求吗？ 不会自动实现，但它会大幅缩小你的 PCI DSS 范围。如果卡片在数据入口处就被令牌化，而你的系统只处理令牌，通常可以通过最轻量级的自我评估，而不是完整审计。你仍然需要正确完成集成，并遵循通用安全实践。 ### 网络令牌和保险库令牌有什么区别？ 保险库令牌由支付服务商签发，只能在该服务商的环境中使用。网络令牌由卡组织签发，并与底层账户关联，因此即使客户的实体卡被重新签发或过期，也可能继续有效。网络令牌往往可以减少续费失败并提高授权率。 ### 我需要自行构建卡片保险库才能使用令牌化吗？ 不需要，而且大多数团队都不应该这样做。构建合规保险库需要 PCI Level 1 认证、硬件安全模块和持续审计。使用像 Dodo Payments 这样替你完成卡片令牌化的服务商，就能获得已保存卡片、订阅和一键结账功能，而无需自行运营保险库。 ## 最后想法 支付令牌化属于那类很容易被忽视的基础设施，直到审计、数据泄露或大量续费失败迫使你正视它。真正做好令牌化的创始人，会把它视为第一天就要做出的架构决策：在边缘采集卡片，只存储令牌，并让专业服务商保管支付凭证。 这样做之后，令牌化会悄然发挥价值：更小的 PCI 范围、更小的攻击面、更高的授权率，以及更少流失的订阅。想了解它如何融入完整的计费技术栈，可以比较 [Dodo Payments 定价](https://dodopayments.com/pricing)，并阅读[支付网关如何端到端工作](https://dodopayments.com/blogs/how-payment-gateway-works)。 --- - [More Payments articles](https://dodopayments.com/blogs/category/payments) - [All articles](https://dodopayments.com/blogs)