全面解析第三方支付平台与支付安全

Kingson

　　前　言

　　电子商务运作模型和业务流程中三个环节—信息流、资金流和物流是促进电子商务发展的关键。作为中间环节的网络（在线）支付，是电子商务流程中交易双方最为关心的问题。如果这个环节不能解决，那么真正实现电子商务就成为空谈，就没有电子商务得以顺利发展的基础条件，电子商务就成了“虚拟商务”，只能是信息传递的电子化、合同的无纸化，而无法完全实现网上交易，使得电子商务快捷便利的优势大打折扣。

　　最初的网上购物不包括网络支付功能，只负责提供商品(服务)信息浏览和下订单。付款是通过其他途径（如电话、传真和邮局汇款，银行转帐、汇款等形式）完成的。不过，对于电子商务来说，这些付款方式使得其方便性与实效性大打折扣，甚至可以说非常类似于邮购方式，当然这些无法令追求效率和便捷的人们满意。

　　因此，电子商务的进一步发展必然要求网络支付的同步。传统支付和结算必然应适应电子商务环境的特点而加以变革和更新，乃至创造出某种全新的支付模式来适应电子商务的迅猛发展。

　　目前电子商务亟待解决的问题就集中在如何通过现有的网络技术如Internet Web、数据加密、防火墙技术、各种交易协议（如SET－Secure Electronic Transaction “安全电子交易协议”、和SSL-Secure Socket Layer Protocol “安全套接层协议”）、客户端浏览技术和软件等，使得客户和商家透明安全地进行交易。其中，支付系统的可靠和安全，是整个电子商务框架的基础和保障。

　　在继续本文下文之前，我们需要对电子支付和网络支付的定义做进一步的简要概括。

　　我们认为，电子支付，英文为“Electronic Payment”概括的说就是传统支付形式的电子化。或者是通过电子信息化的手段实现交易中的价值交换。

　　而网络（在线）支付，英文为“Online Payment”或者“Internet Payment”是指以计算机网络系统特别是互联网系统，以电子信息传递的形式来实现资金的流通和支付。

　　网络支付简介

　　目前国际通行的网络支付工具主要有电子信用卡、电子借记卡，电子支票和电子现金等。有了这些常用的支付工具，就可以通过一些常用的互联网支付手段来实现网络支付，例如登录网上银行，以及还有本文在下文将要重点介绍的第三方支付平台，如PayPal和支付宝。

　　信用卡支付是电子支付中最常用的工具，信用卡在欧美等发达国家和地区已经成为最普遍的支付方式。可以在许多公共场合使用。也可以刷卡、POS结帐以及自动取款机上提取现金等方式进行支付。广义的信用卡是指能够为持卡人提供信用证明，持卡人可以据此进行消费和享受服务的卡片。包括银行贷记卡、借记卡、储蓄卡和支票卡。

　　信用卡比较适用于计算机网络空间的操作。在电子商务中最简单的形式是让用户提前在某一公司登记一个信用卡号码和口令，当用户通过网络在该公司购物时，用户只需将口令传送到该公司，购物完成后，用户会收到一个确认的电子邮件，询问购买是否有效。若用户对电子邮件回答有效时，公司就会从用户的信用卡帐户上减去这笔交易的费用。此种方式的缺点在于安全措施差，可以看出持卡人主要是依靠商家的诚信来保护自己的信用卡隐私信息，但是一旦信息披露出现纰漏，则难免出现安全问题和网络支付纠纷。

　　目前常用的一种方法是在互联网的环境下通过前述SET或者SSL协议的支付网关平台直接与银行进行相关支付信息的安全交互，进行网络支付。其突出的特点是用户在网上发送信用卡号和密码，加密后发送到银行进行支付。这样一来降低了用户的信用卡号和密码泄露的风险，相对提高了安全性。

　　还有一种方式也可以相对降低网络支付的风险，那就是正在迅猛发展起来的利用第三方机构的支付模式及其支付流程，而这个第三方机构必须具有一定的诚信度。在实际的操作过程中这个第三方机构可以是发行信用卡的银行本身。在进行网络支付时，信用卡号以及密码的披露只在持卡人和银行之间转移，降低了应通过商家转移而导致的风险。

　　同样当第三方是除了银行以外的具有良好信誉和技术支持能力的某个机构时，支付也通过第三方在持卡人或者客户和银行之间进行。持卡人首先和第三方以替代银行帐号的某种电子数据的形式（例如邮件）传递帐户信息，避免了持卡人将银行信息直接透露给商家，另外也可以不必登录不同的网上银行界面，而取而代之的是每次登录时，都能看到相对熟悉和简单的第三方机构的界面。

　　第三方机构与各个主要银行之间又签订有关协议，使得第三方机构与银行可以进行某种形式的数据交换和相关信息确认。这样第三方机构就能实现在持卡人或消费者与各个银行，以及最终的收款人或者是商家之间建立一个支付的流程。如图１所示：

　　一、PayPal 模式以及法律环境

　　近年来，随着电子商务特别是网络交易的迅猛发展，这种新型的借助于第三方支付的方式体现了巨大的生命力。2002年7月8日，当电子商务网站eBay收购了在线支付服务商PayPal后，PayPal提供的网络支付方式就借着eBay网上拍卖交易，特别是C2C交易的特点在美国和欧洲等国家和地区不断发展。这种新型的方式与消费者线上刷卡付款的最大不同在于，透过第三者——PayPal付款给网络商家。商家无法直接取得消费者的信用卡资料，减少信用卡资料泄露的概率。目前该付款方式在世界三十八个国家中有超过七千二百万个用户。

　　（一）PayPal支付基本原理

　　通过PayPal支付一笔金额给商家或者收款人，可以分为以下几个步骤：

　　1、只要有一个电子邮件地址，付款人就可以登录开设PayPal帐户，通过验证成为其用户，并提供信用卡或者相关银行资料，增加帐户金额，将一定数额的款项从其开户时登记的帐户（例如信用卡）转移至PayPal帐户下。

　　2、当付款人启动向第三人付款程序时，必须先进入PayPal帐户，指定特定的汇出金额，并提供受款人的电子邮件帐号给PayPal。

　　3、接着PayPal向商家或者收款人发出电子邮件，通知其有等待领取或转帐的款项。

　　4、如商家或者收款人也是PayPal用户，其决定接受后，付款人所指定之款项即移转予收款人。

　　5、若商家或者收款人没有PayPal帐户，收款人得依PayPal电子邮件内容指示连线站进入网页注册取得一个PayPal帐户，收款人可以选择将取得的款项转换成支票寄到指定的处所、转入其个人的信用卡帐户或者转入另一个银行帐户。

　　从以上流程可以看出，如果收款人已经是PayPal的用户，那么该笔款项就汇入他拥有的PayPal账户；若收款人没有PayPal账户，网站就会发出一封通知电子邮件，引导收款者至PayPal网站注册一个新的账户。所以，也有人称PayPal的这种销售模式是一种“邮件病毒式”的商业拓展方式，从而使得PayPal越滚越大地占有市场。

　　一般来看，这种付款方式很容易看成资金是透过电子邮件方式汇入（fund-in）、汇出(fund-out)的，付款人和收款人之间完成了付款流程。事实上，通过PayPal发出的电子邮件仅扮演“通知”角色，而PayPal服务也只是对用户的信用卡账户进行借、贷记录而已。

　　概括的说，从形式上看，PayPal目前提供的基本模式是一种“电子邮件支付”方式。从本质上看PayPal是一种基于其平台的虚拟银行帐户的记帐和转帐系统。资金的转移是在付款人的银行帐户、PayPal帐户以及收款人的帐户之间进行，而电子邮件起到传递信息和通知作用，其运转离不开银行帐户、电子资金转帐以及信用卡等传统支付工具。（对没有注册PayPal帐户的收款人来说，发出电子邮件给收款人对于PayPal来说还有一个市场推销的作用。）

　　这种模式的特点在于，网络交易的收款人（卖家）只要告诉付款人（买家）自身的电子邮件地址，即在PayPal上的用户名，那么付款人就可以通过PayPal完成付款。PayPal的用户发出的金额和收到的金额首先都是对其PayPal帐面的增减，用户可以通过PayPal帐户的指令支付，提现或者变为银行的存款。还可以发出指令，使PayPal寄出支票，或者通过转帐将资金划至用户指定的银行帐户中。付款人和收款人可以在两个不同的银行开户，也可以是两个相距甚远的国家或者地区的银行开户，但是只要他们都是PayPal的用户，就可以减少跨行之间、跨国和跨地区之间的转帐繁琐。无疑这种一站式的便利以及以电子邮件地址作为PayPal帐户的方式大大有别于传统的依赖于金融系统上的交易和转帐模式。

　　此外,对于支付安全来说，Paypal的作用和防火墙有些相同，在收款者和用户的信用卡资料间筑起了一道安全屏障。以前用信用卡购物，需要在网上商店提供的付款页面上输入卡号，这么做当然很方便。但是如果网站没有实现加密传输信息，或者有些仿冒网站（spoof site）恶意骗取信息交易，安全性就要大打折扣——信用卡资料会被网站工作人员或者别的什么人获取。现在就不同了，通过PayPal进行转帐或者付款给商家，只要输入PayPal帐号和密码——这就多了一层密码保护，而且支付页面由PayPal提供，而不是由网上商店提供。最终在PayPal站上完成加密的支付过程，没有第三方（包括网上商店）能够接触到用户的银行帐户或者信用卡持卡人的个人资料。

ducan

很有必要学习

图腾狼

选择了第三方支付平台就信任了它，它本身存在的安全性呢？