授权要注意什么？从预授权到 3DS

中文「授权」容易指两件事：客户允许商户扣款的同意，以及发卡机构对一笔交易的批准。它们都重要，但不能互相替代。商户应当取得有效同意，并让每次交易按相应规则提交。

先分清验证、同意与批准

3DS（3-D Secure）主要帮助发卡机构验证是否由合法持卡人参与，可能是无感验证，也可能需要验证码或银行应用确认。它与交易授权是不同步骤。

客户同意了服务条款，不代表发卡机构一定批准；3DS 通过，也可能因余额、额度或风控被拒绝；没有出现挑战页面，也不代表没有发生 3DS。

预授权先占用，最终金额看请款

预授权常用于酒店、租车等最终金额尚未确定的场景。授权批准会占用一定可用资金或额度，最终再按实际业务请款；未使用的部分可能通过撤销或过期释放。

先确认适用行业、有效期、增量授权、部分请款和超额规则。不要把授权冻结显示成最终消费，也不要承诺撤销后余额必定实时恢复。发卡侧的释放时间可能不同。

已请款的交易通常需要退款；未请款的授权可能适合撤销。用什么操作必须按当前状态和通道规则决定，避免同时撤销、退款和重试造成混乱。

订阅和后续扣款要有清楚依据

在首次交易前，让客户知道商户名称、计价、频率、试用转付费、取消方式和后续扣款安排，并保存可核查的同意记录。按要求区分客户发起交易（CIT）与商户发起交易（MIT），传递关联引用与正确的凭据标志。

客户同意保存卡片与同意未来扣款也可能是不同授权。不要用手动多次扣款模拟订阅，更不要在退订后继续发起不符合约定的交易。

验证信息要正确，也要少存

商户信息、金额、币种、账单资料和交易场景应与真实订单一致。使用服务商支持的 SDK、托管页面或令牌处理卡数据，按要求验证服务器通知，不能只信任浏览器返回的成功页面。

CVV/CVC 不应在授权后存储。控制完整卡号与个人数据的接触范围，日志采用掩码与关联编号。具体 PCI DSS 范围和敏感数据处理要求应与服务商确认。

3DS 能降低风险，不能包办所有争议

某些符合条件的欺诈争议可能适用责任转移，但取决于网络、地区、验证结果、交易类型和规则。3DS 不是对全部欺诈、商品未收到或服务不符争议的免责保证。

授权失败时，先看明确原因和服务商重试指引。需要额外验证就引导客户完成，硬性拒绝则提示换卡或联系发卡行；未知结果先查询，不能连续点击制造重复扣款。

继续看支付体系和欺诈、争议与拒付。有关卡数据、身份验证与产品接入，可从 Stripe 官方文档查找对应产品的现行规则。