PCI DSS只是基准：电商为何需要保护Web应用和API

F5生态系统 | 2025年6月26日

支付卡行业数据安全标准（PCI DSS）4.0.1版促使零售商和电子商务提供商加强应用安全防御。随着最佳实践成为正式实施的要求，不合规可能造成切实影响。面对攻击者日益复杂的手段，以及客户对便捷交易的需求，以在线商务为核心业务的组织应考虑采用集成式解决方案。这类方案不仅有助于满足严格的合规要求，更重要的是能够无缝保护数字业务。

本篇博客将深入探讨其中的一些原因。

电子商务平台必须提供流畅且安全的客户体验。

为何是现在？

最新的PCI标准虽非新规，但大幅扩展了指导范围。多年来，一个常见的误解可以概括为：“我已经部署了防火墙，所以没问题，合规检查通过。”如今，这种看法已被证明是错误的。

应用现代化、全渠道数字触点的兴起以及攻击者手段日益复杂，使组织必须增加多项安全控制措施，以满足PCI DSS合规要求，包括保障支付脚本安全、保护API、快速检测并响应凭据泄露事件，以及定期开展漏洞扫描。

正如《2025 Gartner 云Web应用和API保护市场指南》所述，最新版PCI标准要求对所有支付脚本实施安全控制，因此客户端保护日益重要。

随着架构日益分散，软件组件分布在混合云和多云环境中，Web应用变得越来越复杂。应用基础设施的解耦和软件供应链的扩张，为攻击业务逻辑和客户端浏览器的威胁提供了可乘之机。这些威胁是工业化攻击生命周期的一部分。

可能会出现哪些问题？（提示……最薄弱的环节）

诸如信息窃取程序之类的客户端攻击可用于窃取用户凭据，随后利用这些凭据发起大规模自动化攻击。如果不加以缓解，可能导致账户接管和欺诈。

表单劫持会将恶意JavaScript注入在线表单，在浏览器端捕获用户输入。攻击者通常利用第三方脚本中的漏洞实施此类攻击，而传统的集中式安全控制措施很难检测到这类攻击。

Magecart是对一系列专门从事网页窃取的网络犯罪团伙的统称。这些团伙以电子商务网站为目标，通过注入JavaScript代码，在结账过程中窃取支付数据。

Web应用防火墙（WAF）仍是一项战略性安全控制措施，尤其是新标准明确指出，所有漏洞都可能为攻击者提供可乘之机，必须定期处理。许多WAF可以保护API，但现代应用开发的速度要求具备更多能力，以动态检测并自动保护深藏于业务逻辑中或在第三方生态系统内被调用的端点，最好能在代码和测试环节实现这些保护。

虽然软件生命周期流程和安全编码技术是指导方向，但风险评估需要持续开展，而风险缓解通常需要在生产环境中实施强大的运行时安全防护，覆盖客户端浏览器、前端Web应用和后端API，从而有效抵御针对高度互联数字体验的多种威胁向量攻击。

第三方服务是Web应用的常见组成部分，也是常见的风险面。

还可能出现哪些问题？（提示……平台滥用）

漏洞是软件中可能被攻击者利用的缺陷或弱点。如今，应用本质上已成为基于API的系统，后端业务逻辑功能面临较高的滥用风险。

F5 Labs 研究详细说明了电子商务行业遭受高级攻击的比例较高，其中44.82%的移动端凭据填充攻击属于高级攻击。为逃避检测，这些攻击者利用各种工具模拟浏览器、移动设备和用户行为，包括生成有效令牌、伪造遥测信号，以及模拟键盘和鼠标事件。攻击者不断调整工具以绕过防御措施，从Web应用转向移动应用，或升级其战术、技术和程序。

针对电商行业的攻击还会利用转售机器人滥用“加入购物车”功能，导致真实客户可能无法完成交易。对超过2,000亿次Web和API请求的分析发现，观察到的“加入购物车”操作中，超过五分之一由自动化程序执行。

此外，机器人还会操纵用户评论，生成以假乱真的虚假评论，其中许多会使用生成式AI。

即使在电子商务领域，F5 Labs的威胁研究也发现，时尚行业受抓取程序影响尤为严重。这些程序会从目标网站提取大量数据和内容，其流量占所有Web流量的53.23%。数据抓取可能使企业在定价方面处于不利地位，并给知识产权带来风险。

机器人和恶意自动化助长了工业化攻击生命周期。

这与法规有何关系？

最新的PCI DSS提出了多项建议，推荐采用针对性风险分析，而非传统的企业级全面风险评估。

具体而言，更新后的标准通过两项自2025年3月31日起生效的客户端要求，应对日益严重的客户端攻击威胁，但并未以规定性方式要求组织如何满足这些要求。

这些新要求表明，恶意客户端脚本正日益成为支付卡行业的威胁面。应对此类风险的传统方法难以实施和维护，包括使用内容安全策略（CSP）阻止未经授权的代码注入网站，以及使用子资源完整性（SRI）Web方法验证第三方应用是否遭到篡改。尤其是在AI时代，争夺客户关注度的竞争正推动数字体验不断升级，这些方法的实施和维护更具挑战性。

如何兼顾无缝体验与安全性

客户希望轻松完成交易，无法容忍延迟、故障，尤其是安全事件。广泛使用的安全控制措施（例如Web应用防火墙解决方案）可能无法将充分的保护扩展到客户端浏览器或后端API。通过CAPTCHA向用户发起质询的机器人管理解决方案，基本无法阻止经验丰富的网络犯罪分子实施滥用，却很容易让用户感到受挫。即使是多重身份验证，也可能被绕过。

攻击者会根据可被其滥用的平台、行业和业务逻辑采用不同的手段。对于电子商务企业而言，潜在买家无法将商品加入购物车会构成重大威胁，交易、由此产生的收入和客户忠诚度都可能受到影响。