授權要注意什麼？從預授權到 3DS

中文「授權」容易指兩件事：客戶允許商戶扣款的同意，以及髮卡機構對一筆交易的批准。它們都重要，但不能互相替代。商戶應當取得有效同意，並讓每次交易按相應規則提交。

先分清驗證、同意與批准

3DS（3-D Secure）主要幫助髮卡機構驗證是否由合法持卡人參與，可能是無感驗證，也可能需要驗證碼或銀行應用確認。它與交易授權是不同步驟。

客戶同意了服務條款，不代表髮卡機構一定批准；3DS 通過，也可能因餘額、額度或風控被拒絕；沒有出現挑戰頁面，也不代表沒有發生 3DS。

預授權先佔用，最終金額看請款

預授權常用於酒店、租車等最終金額尚未確定的場景。授權批准會佔用一定可用資金或額度，最終再按實際業務請款；未使用的部分可能通過撤銷或過期釋放。

先確認適用行業、有效期、增量授權、部分請款和超額規則。不要把授權凍結顯示成最終消費，也不要承諾撤銷後餘額必定實時恢復。髮卡側的釋放時間可能不同。

已請款的交易通常需要退款；未請款的授權可能適合撤銷。用什麼操作必須按當前狀態和通道規則決定，避免同時撤銷、退款和重試造成混亂。

訂閱和後續扣款要有清楚依據

在首次交易前，讓客戶知道商戶名稱、計價、頻率、試用轉付費、取消方式和後續扣款安排，並保存可核查的同意記錄。按要求區分客戶發起交易（CIT）與商戶發起交易（MIT），傳遞關聯引用與正確的憑據標誌。

客戶同意保存卡片與同意未來扣款也可能是不同授權。不要用手動多次扣款模擬訂閱，更不要在退訂後繼續發起不符合約定的交易。

驗證信息要正確，也要少存

商戶信息、金額、幣種、賬單資料和交易場景應與真實訂單一致。使用服務商支持的 SDK、託管頁面或令牌處理卡數據，按要求驗證服務器通知，不能只信任瀏覽器返回的成功頁面。

CVV/CVC 不應在授權後存儲。控制完整卡號與個人數據的接觸範圍，日誌採用掩碼與關聯編號。具體 PCI DSS 範圍和敏感數據處理要求應與服務商確認。

3DS 能降低風險，不能包辦所有爭議

某些符合條件的欺詐爭議可能適用責任轉移，但取決於網絡、地區、驗證結果、交易類型和規則。3DS 不是對全部欺詐、商品未收到或服務不符爭議的免責保證。

授權失敗時，先看明確原因和服務商重試指引。需要額外驗證就引導客戶完成，硬性拒絕則提示換卡或聯繫髮卡行；未知結果先查詢，不能連續點擊製造重複扣款。

繼續看支付體系和欺詐、爭議與拒付。有關卡數據、身份驗證與產品接入，可從 Stripe 官方文檔查找對應產品的現行規則。