安全码是什么？定义、流程、例子与常见问题

核心要点

• 定义：安全码（CVV/CVC）是卡片上的短认证值，常用于无卡交易的附加校验，不是个人识别码PIN。
• 流程位置：有效期帮助系统判断卡凭证是否仍在可接受时间范围内，CVV或CVC用于特定渠道的凭证校验，动态安全码则按产品规则更新。
• 不要混淆：CVV/CVC / 一次性验证码

它如何进入支付流程

对CVV/CVC而言，相关流程如下：有效期帮助系统判断卡凭证是否仍在可接受时间范围内，CVV或CVC用于特定渠道的凭证校验，动态安全码则按产品规则更新。它们都是凭证要素，但用途、生成方式和可否存储并不相同。

评估CVV/CVC时，应关注以下要点：商户只应收集完成交易所需的数据，并按适用的PCI DSS范围管理。更换卡片、令牌生命周期更新或发卡方策略变化，都可能影响后续存档支付。

实际例子

网购结账页把CVV用于当次无卡交易校验。商户不得因为用户同意保存卡片，就在授权后继续保存该验证码。

与相近术语的区别

CVV/CVC的定义重点是“是卡片上的短认证值，常用于无卡交易的附加校验，不是个人识别码PIN”；一次性验证码则“是仅在一次操作或短时间内有效的验证码，可作为认证要素但并不自动等于完整的强客户认证”。两者可能出现在同一交易中，但回答的是不同问题。

使用与风险边界

CVV/CVC有一项关键边界：PCI DSS禁止商户在授权后保存卡片验证码等敏感认证数据，即使经过加密也不因此允许保留。不要通过聊天、邮件或不可信表单发送安全码。

常见问题

下面回答搜索CVV/CVC时最常见的两个判断问题。

和一次性验证码是一回事吗？

不是。安全码（CVV/CVC）是卡片上的短认证值，常用于无卡交易的附加校验，不是个人识别码PIN。一次性验证码（OTP）是仅在一次操作或短时间内有效的验证码，可作为认证要素但并不自动等于完整的强客户认证。判断时应分别核对对象、流程阶段和责任方。

把安全码加密后，商户就能在授权后保存吗？

就CVV/CVC而言，不能据此得出允许保存的结论。PCI SSC明确指出，授权后不得存储卡片验证代码等敏感认证数据，即使这些数据已加密。