
*****

####  hgfdsa  
##### 1#       楼主       发表于 2026-1-23 09:38

.cronclosethread_getbox{border: 1px dashed #FF9A9A;padding:6px 8px;line-height: 24px;margin: 10px 0;font-size: 12px;overflow:hidden;color: #CA4312;}

此帖将于2026-02-22 09:34自动关闭

终末地开服大瓜大家都知道吧，手动充值充到别人账号我可以理解，草台把回调参数调用错了。

自动扣款充到别人账号，paypal可以不经过用户同意签约自动扣款？

*****

####  GLYSDSB  
##### 2#       发表于 2026-1-23 09:40

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072642&amp;ptid=2273023" target="_blank">hgfdsa 发表于 2026-1-23 09:38</a>
终末地开服大瓜大家都知道吧，手动充值充到别人账号我可以理解，草台把回调参数调用错了。

自动扣款充到别 ...</blockquote>
信用卡盗刷都几十年了，西方就是这么🌿台

—— 来自 vivo V2464A, Android 15, [鹅球](https://www.pgyer.com/xfPejhuq) v3.5.99-alpha

*****

####  Urakawa  
##### 3#       发表于 2026-1-23 09:40

pp不知道冲到哪个账号吧

*****

####  挖泥船  
##### 4#       发表于 2026-1-23 09:41

不都可以吗？只要你同意某某软件可以对你自动扣款之后。

微信支付宝的自动续费本质也是这样

—— 来自 Xiaomi 24069RA21C, Android 14, [鹅球](https://www.pgyer.com/GcUxKd4w) v3.5.99

*****

####  缪斯替  
##### 5#       发表于 2026-1-23 09:42

 本帖最后由 缪斯替 于 2026-1-23 09:48 编辑 

支付这方面都这样的吧，银行卡绑的太久远记不清了，但是前阵子绑信用卡的时候应该是提供了信用卡那一堆数字之后也没什么证明我是我的流程，那可不是大嘴一张就能从别人的账户上要来钱

而且我一直有点怀疑，我在蓝绿app上证明我是我，他们需要把同样的证明交给银行再审一遍吗，还是说只要他们自称“我验过了是本人”就能从银行要来钱

*****

####  ydd-319  
##### 6#       发表于 2026-1-23 09:44

国服玩家瑟瑟发抖中，据说国服还有充6块实际扣12块的情况，还好我没遇到<img src="https://static.stage1st.com/image/smiley/face2017/169.gif" referrerpolicy="no-referrer">

*****

####  hgfdsa  
##### 7#         楼主| 发表于 2026-1-23 09:44

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072666&amp;ptid=2273023" target="_blank">挖泥船 发表于 2026-1-23 09:41</a>

不都可以吗？只要你同意某某软件可以对你自动扣款之后。

微信支付宝的自动续费本质也是这样</blockquote>
重点是需要用户同意，手游充值应该没那个会同意自动扣款吧

*****

####  棍机凹升龙  
##### 8#       发表于 2026-1-23 09:46

token没管理好是这样的

*****

####  鳄鱼亮爪  
##### 9#       发表于 2026-1-23 09:46

肯定是签约过后才扣的啊

*****

####  oi99o  
##### 10#       发表于 2026-1-23 09:47

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072694&amp;ptid=2273023" target="_blank">hgfdsa 发表于 2026-1-23 09:44</a>
重点是需要用户同意，手游充值应该没那个会同意自动扣款吧</blockquote>
肯定有签约的，我记得以前paypal绑eshop的时候也是这样，在“自动扣款”里面加了个“nintendo”

[论坛助手,iPhone](https://stage1st.com/2b//forum.php?mod=viewthread&amp;tid=2029836)

*****

####  飞车飞车  
##### 11#       发表于 2026-1-23 09:47

pp抽成也是相当逆天的。

每一笔  4.40%+0.30美元

*****

####  平贺才人  
##### 12#       发表于 2026-1-23 09:48

<img src="https://img.stage1st.com/forum/202601/23/094530jt6strzrjzsjgctf.jpg" referrerpolicy="no-referrer">

<strong>捕获.JPG</strong> (112.74 KB, 下载次数: 0)

下载附件

2026-1-23 09:45 上传

就算有锅撑死1成，国外就这大环境

**内微信支付宝开个什么服务的自动扣费功能碰上鹰角这样艹台的理论也能搞点事？国内各种程序还是比较严一般出不了这问题吧

*****

####  hgfdsa  
##### 13#         楼主| 发表于 2026-1-23 09:50

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072704&amp;ptid=2273023" target="_blank">鳄鱼亮爪 发表于 2026-1-23 09:46</a>

肯定是签约过后才扣的啊</blockquote>
我没听过那个手游会搞自动扣款签约，鹰角敢这样搞，不怕被监管锤死

现在普遍的分析是token保存在数据库，调用的时候调错了，这明显是paypal的设计漏洞，只要拿到token就能随便充值

*****

####  格林达姆  
##### 14#       发表于 2026-1-23 09:52

 本帖最后由 格林达姆 于 2026-1-23 10:03 编辑 

银行卡信息本身就相当于账号密码

PayPal那边真不清楚啥情况。但既然以前没怎么听说过这种事故，感觉鹰角那边问题更大。估计在鹰角那边发出去的账就是乱的，PayPal只是根据账单扣款

*****

####  Ncr110  
##### 15#       发表于 2026-1-23 09:53

对于支付渠道来说 花钱的门槛越低对他们越有利

*****

####  g8287694  
##### 16#       发表于 2026-1-23 09:54

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072728&amp;ptid=2273023" target="_blank">平贺才人 发表于 2026-1-23 09:48</a>

就算有锅撑死1成，国外就这大环境

**内微信支付宝开个什么服务的自动扣费功能碰上鹰角这样艹台的理论也 ...</blockquote>
这个图片我觉得有点瞎扯，当然我没对接过PayPal的支付，但是我对接过很多渠道的支付

这个放入线程池我就没理解，这种数据一般是要落地的吧？要么是放入redis，一般用uid当key，这种情况下就不可能出现用别人的支付凭证的情况。

要么就是支付回调，支付回调里面应该包含uid，一般也会对支付uid和购买uid做对比啊，一般情况下不相等也会要报警报或者日志，然后自动退款

*****

####  刑部姬真可爱  
##### 17#       发表于 2026-1-23 09:54

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072688&amp;ptid=2273023" target="_blank">ydd-319 发表于 2026-1-23 09:44</a>

国服玩家瑟瑟发抖中，据说国服还有充6块实际扣12块的情况，还好我没遇到</blockquote>
这个是假的

*****

####  hgfdsa  
##### 18#         楼主| 发表于 2026-1-23 09:54

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072728&amp;ptid=2273023" target="_blank">平贺才人 发表于 2026-1-23 09:48</a>

就算有锅撑死1成，国外就这大环境

**内微信支付宝开个什么服务的自动扣费功能碰上鹰角这样艹台的理论也 ...</blockquote>
安全相关的token不是一次性的？生成随机字符串的接口要钱不成。我以前混过的真草台班子都没这么草台

*****

####  bin哥厉害  
##### 19#       发表于 2026-1-23 09:54

国内电子支付是基于面向支付系统的订单核销流程：
客户端发起订单-用户输入密码-支付系统核销扣款-支付系统发送回执-客户端验证订单支付成功-发放对应货币

国外基于银行信用卡体系的电子支付是记账流程：
客户端发起扣款-银行生成支付凭证-用户授权信用卡-信用卡生成账单-银行系统发送回执-发放对应货币

国内是账上有钱，订单来了扣钱拿货，钱货两清。
国外是账上有额度，先记账最后清账，用户授权就等于告诉paypal，我在某某商店有消费，到时候商店拿账单来就记我账上。

问题出在 客户端发起扣款 的环节，正常情况下是每个uid对应自己的paypal支付token，做个强绑定。现在鹰角客户端狗屎一样自己把多个uid发起的订单通通指向某一个倒霉蛋的paypal支付授权凭证了。

鹰角自己的起码占9成锅，剩下的1成在于paypal没有验证，但是paypal天知道你鹰角居然整出来盗刷用户信用卡这种事。

paypal：那我也有话说，怎么就你搞这么大活？

*****

####  oi99o  
##### 20#       发表于 2026-1-23 09:56

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072677&amp;ptid=2273023" target="_blank">缪斯替 发表于 2026-1-23 09:42</a>
支付这方面都这样的吧，银行卡绑的太久远记不清了，但是前阵子绑信用卡的时候应该是提供了信用卡那一堆数字 ...</blockquote>
就是信用风险管理的问题，蓝绿是大平台有大公司背书，所以银行会认可他们做的身份认证，直接扣款给他。如果哪天平台的认证系统崩了，被用户举报到银行那里，银行觉得有必要就可以终止跟平台的合作。信用卡也是一样，平台有责任验证信用卡信息的合法性，如果在你这被盗刷得多了银行也会终止合作。所以有些平台会给信用卡支付加入3d认证环节来降低盗刷风险，具体到国内就是手机验证码。

[论坛助手,iPhone](https://stage1st.com/2b//forum.php?mod=viewthread&amp;tid=2029836)

﹍﹍﹍

评分

 参与人数 1战斗力 +1

|昵称|战斗力|理由|
|----|---|---|
| 缪斯替| + 1|感谢解答|

查看全部评分

*****

####  Toclafane  
##### 21#       发表于 2026-1-23 09:58

终末地上线后，玩家一定会感叹角色技能设计的深度

基建玩法的吸引力也是很大的

方舟老玩家看到熟悉的人一定会产生感动

什么叫做因为支付问题出圈了

*****

####  Urakawa  
##### 22#       发表于 2026-1-23 09:58

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072728&amp;ptid=2273023" target="_blank">平贺才人 发表于 2026-1-23 09:48</a>
就算有锅撑死1成，国外就这大环境

**内微信支付宝开个什么服务的自动扣费功能碰上鹰角这样艹台的理论也 ...</blockquote>
如果是这个问题，11月底就有付费测试了，当时怎么没发生？

*****

####  hgfdsa  
##### 23#         楼主| 发表于 2026-1-23 09:59

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072772&amp;ptid=2273023" target="_blank">bin哥厉害 发表于 2026-1-23 09:54</a>

国内电子支付是基于面向支付系统的订单核销流程：

客户端发起订单-用户输入密码-支付系统核销扣款-支付系统 ...</blockquote>
这就是安全性问题所在啊，支付凭证居然不是一次性的

*****

####  logiccat  
##### 24#       发表于 2026-1-23 10:01

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072688&amp;ptid=2273023" target="_blank">ydd-319 发表于 2026-1-23 09:44</a>

国服玩家瑟瑟发抖中，据说国服还有充6块实际扣12块的情况，还好我没遇到</blockquote>
paypal本质上的业务逻辑是信用卡的线上化，信用卡授权就是这样的，在美国，授权是可以不经你完全同意的，比如你第一次去一个餐馆吃饭，信用卡刷卡后就永久授权一个店了，他回头要再扣你钱，扣你多少钱，都是他们说了算，但一般不会这么明显的抢钱，一般是你下回再去吃饭他多扣你一点，混在你实际消费里，这种抢钱方式有博主解释过，美国跟别的地方不一样，这种授权不是一次性的，可以是永久的，所以收到账单一定要算账核对，时时刻刻准备去讨账。

*****

####  ydd-319  
##### 25#       发表于 2026-1-23 10:01

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072728&amp;ptid=2273023" target="_blank">平贺才人 发表于 2026-1-23 09:48</a>

就算有锅撑死1成，国外就这大环境

**内微信支付宝开个什么服务的自动扣费功能碰上鹰角这样艹台的理论也 ...</blockquote>
这下悠星要笑死了，天天说我日服LJ，结果你自己上拉个这么大的<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">

*****

####  洛克萨斯  
##### 26#       发表于 2026-1-23 10:01

很明显不是渠道问题，商户自己数据库里的订单—UID 映射出问题才会错付啊，正常商户渠道还能24小时盯着你么？

*****

####  平贺才人  
##### 27#       发表于 2026-1-23 10:01

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072797&amp;ptid=2273023" target="_blank">Urakawa 发表于 2026-1-23 09:58</a>
如果是这个问题，11月底就有付费测试了，当时怎么没发生？</blockquote>
国外测试没开支付系统，压根没测

*****

####  勿徊哉  
##### 28#       发表于 2026-1-23 10:03

不管是谁的锅，鹰角要撸几个人？

*****

####  五块  
##### 29#       发表于 2026-1-23 10:04

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072819&amp;ptid=2273023" target="_blank">logiccat 发表于 2026-1-23 10:01</a>

paypal本质上的业务逻辑是信用卡的线上化，信用卡授权就是这样的，在美国，授权是可以不经你完全同意的， ...</blockquote>
你的意思是paypal付一次=永久授权免验证？

但就我在一些国外网站上用下来并非如此，只要不绑定就每次付费都要登录paypal付款。

*****

####  丹德里恩  
##### 30#       发表于 2026-1-23 10:04

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072772&amp;ptid=2273023" target="_blank">bin哥厉害 发表于 2026-1-23 09:54</a>

国内电子支付是基于面向支付系统的订单核销流程：

客户端发起订单-用户输入密码-支付系统核销扣款-支付系统 ...</blockquote>
这个91分锅论就是纯胡扯，你都拿到token了还要paypal怎么验证，他又不知道鹰角和用户之间的交互

*****

####  ydd-319  
##### 31#       发表于 2026-1-23 10:05

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072819&amp;ptid=2273023" target="_blank">logiccat 发表于 2026-1-23 10:01</a>

paypal本质上的业务逻辑是信用卡的线上化，信用卡授权就是这样的，在美国，授权是可以不经你完全同意的， ...</blockquote>
<img src="https://static.stage1st.com/image/smiley/face2017/091.png" referrerpolicy="no-referrer">

*****

####  璇瑢子R  
##### 32#       发表于 2026-1-23 10:06

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072806&amp;ptid=2273023" target="_blank">hgfdsa 发表于 2026-1-23 09:59</a>

这就是安全性问题所在啊，支付凭证居然不是一次性的</blockquote>
因为信用卡卡号/CVC就不是一次性的。

*****

####  Hinacle  
##### 33#       发表于 2026-1-23 10:07

paypal作为一个昨天才上线的支付平台出了这么大的问题，肯定是paypal全责啊，反观鹰角作为十几年的老企业从来没发生过类似的事，鹰角是不会有问题的

*****

####  璇瑢子R  
##### 34#       发表于 2026-1-23 10:08

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072847&amp;ptid=2273023" target="_blank">五块 发表于 2026-1-23 10:04</a>

你的意思是paypal付一次=永久授权免验证？

但就我在一些国外网站上用下来并非如此，只要不绑定就每次付 ...</blockquote>
这是商家自己选择是一次性支付还是长期绑定

商家愿意保存支付信息就可以永久授权，典型如Apple Store账号你新手机登录的时候绑定一次paypal就可以一直使用

*****

####  hgfdsa  
##### 35#         楼主| 发表于 2026-1-23 10:08

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072872&amp;ptid=2273023" target="_blank">璇瑢子R 发表于 2026-1-23 10:06</a>

因为信用卡卡号/CVC就不是一次性的。</blockquote>
信用卡是底层机制问题，这是在线支付，一个支付请求一个token有那么难

*****

####  洛克萨斯  
##### 36#       发表于 2026-1-23 10:09

你入网签约的时候一定是写明了渠道是不对你提交的资料负责的，他只管按照你提交的表单扣钱，谁会知道你这个商户能干出uid和订单号不匹配的问题，别什么都赖渠道行不行

*****

####  bin哥厉害  
##### 37#       发表于 2026-1-23 10:10

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072797&amp;ptid=2273023" target="_blank">Urakawa 发表于 2026-1-23 09:58</a>

如果是这个问题，11月底就有付费测试了，当时怎么没发生？</blockquote>
我说它3测外服没有测试付费内容（付费测没测付费）你信吗<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">

顺便：

<img src="https://img.stage1st.com/forum/202601/23/101047g2tiiop2p0zi2bpd.jpg" referrerpolicy="no-referrer">

<strong>v2-25312271bbea6275d12192d6a90cc143_r.jpg</strong> (228.23 KB, 下载次数: 0)

下载附件

2026-1-23 10:10 上传

<img src="https://img.stage1st.com/forum/202601/23/101047ovaasag5rqogpbo4.jpg" referrerpolicy="no-referrer">

<strong>v2-ae27a39616befe89b740d1c8ddab4881_r.jpg</strong> (316.76 KB, 下载次数: 0)

下载附件

2026-1-23 10:10 上传

*****

####  愿闻其翔  
##### 38#       发表于 2026-1-23 10:11

我还是不信只靠yj的草台能把别人的paypal账户扣钱，91分锅论太扯蛋了，就算真的像他说的都是jy的骚操作，那你paypal这么大一个国际级平台，支付系统能被yj这种国内甚至都不算一线的游戏公司胡乱操作的？就没有一点防范机制？这踏马要是哪天支付宝或者某家国有大银行说被哪个小公司把账户里的钱随便划走了，我都不敢想象是会是什么样的惊天大新闻<img src="https://static.stage1st.com/image/smiley/face2017/091.png" referrerpolicy="no-referrer">

*****

####  oi99o  
##### 39#       发表于 2026-1-23 10:12

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072847&amp;ptid=2273023" target="_blank">五块 发表于 2026-1-23 10:04</a>
你的意思是paypal付一次=永久授权免验证？

但就我在一些国外网站上用下来并非如此，只要不绑定就每次付 ...</blockquote>
购物网站应该要每次跳转paypal付款的，游戏平台这些不跳转的都是要签约自动扣款的。其实苹果的app store绑定微信支付宝也是要签约自动扣款，所以支付方式上没啥特别的，这次bug单纯就是鹰角跟paypal对接的问题，你要是不认真搞，wxzfb当然也有可能出类似问题。

[论坛助手,iPhone](https://stage1st.com/2b//forum.php?mod=viewthread&amp;tid=2029836)

*****

####  璇瑢子R  
##### 40#       发表于 2026-1-23 10:12

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072889&amp;ptid=2273023" target="_blank">hgfdsa 发表于 2026-1-23 10:08</a>

信用卡是底层机制问题，这是在线支付，一个支付请求一个token有那么难</blockquote>
因为一般网购都有几个选项

1：手动输入信用卡卡号/CVC

2：银行ACH

3：第三方支付比如paypal，apple pay

因为1和2都可以一次输入信息，然后商家保存支付信息长期扣钱。

你paypal每次都要验证那商家/用户谁还选paypal付钱


*****

####  五块  
##### 41#       发表于 2026-1-23 10:12

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072887&amp;ptid=2273023" target="_blank">璇瑢子R 发表于 2026-1-23 10:08</a>

这是商家自己选择是一次性支付还是长期绑定

商家愿意保存支付信息就可以永久授权，典型如Apple Store账号 ...</blockquote>
“绑定”这个动作是不需要用户选择的吗？我记得付费的时候应该是有“是否储存该付费方式”的选项。

*****

####  华安9527  
##### 42#       发表于 2026-1-23 10:13

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072875&amp;ptid=2273023" target="_blank">Hinacle 发表于 2026-1-23 10:07</a>

paypal作为一个昨天才上线的支付平台出了这么大的问题，肯定是paypal全责啊，反观鹰角作为十几年的老企业从 ...</blockquote>
鹰角成立了九年，还没到十几年呢<img src="https://static.stage1st.com/image/smiley/face2017/065.png" referrerpolicy="no-referrer">

*****

####  格林达姆  
##### 43#       发表于 2026-1-23 10:13

 本帖最后由 格林达姆 于 2026-1-23 10:15 编辑 
<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072889&amp;ptid=2273023" target="_blank">hgfdsa 发表于 2026-1-23 10:08</a>
信用卡是底层机制问题，这是在线支付，一个支付请求一个token有那么难</blockquote>
不是说这次是绑PayPal后出的问题吗
免密支付鹰角和PayPal间换什么验证方式都一样的

*****

####  zengzhi2174  
##### 44#       发表于 2026-1-23 10:13

我之前就遇到过PayPal的账号莫名从我自己的邮箱变成一个陌生iCloud<img src="https://static.stage1st.com/image/smiley/face2017/001.png" referrerpolicy="no-referrer">

发现后立马找回然后把绑的卡全部解了


*****

####  丹德里恩  
##### 45#       发表于 2026-1-23 10:17

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072847&amp;ptid=2273023" target="_blank">五块 发表于 2026-1-23 10:04</a>

你的意思是paypal付一次=永久授权免验证？

但就我在一些国外网站上用下来并非如此，只要不绑定就每次付 ...</blockquote>
因为你用的那个网站上没绑定pp，pp没有对应的映射关系，所以每次你选pp来支付都要登录，类似国内的就是你选支付宝后会要求你登支付宝账号，现在国内图方便都是保存用户token来避免，能小额免密就连密码都不用了

*****

####  璇瑢子R  
##### 46#       发表于 2026-1-23 10:17

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072929&amp;ptid=2273023" target="_blank">五块 发表于 2026-1-23 10:12</a>

“绑定”这个动作是不需要用户选择的吗？我记得付费的时候应该是有“是否储存该付费方式”的选项。

 ...</blockquote>
这是看商家愿不愿意做这个让你选择的功能

VISA/MasterCard又不管这个

有些小公司做的网站直接给你自动保存的（比如我打羽毛球的地方，不但自动保存信用卡信息，删除还得找客服，App上没有删除功能）

*****

####  发呆的龙虾  
##### 47#       发表于 2026-1-23 10:17

所以如非必要我都不用PayPal的。PayPal绑国内visa卡，每一笔支出银行都会电话来核对，不知道国外会不会这样。

—— 来自 HUAWEI BRA-AL00, Android 12, [鹅球](https://www.pgyer.com/GcUxKd4w) v3.5.99

*****

####  烦不烦  
##### 48#       发表于 2026-1-23 10:18

我现在尽量用apple pay google pay 会生成一个虚拟卡号

*****

####  绝地潜兵  
##### 49#       发表于 2026-1-23 10:18

昨天看到这新闻后，赶紧把paypal绑的卡解除了

*****

####  hxy8241  
##### 50#       发表于 2026-1-23 10:18

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072929&amp;ptid=2273023" target="_blank">五块 发表于 2026-1-23 10:12</a>
“绑定”这个动作是不需要用户选择的吗？我记得付费的时候应该是有“是否储存该付费方式”的选项。

 ...</blockquote>
是用户选择得，能扣款的肯定选择了绑定。PayPal还是不可能直接扣不绑定的人的钱。


*****

####  Launce  
##### 51#       发表于 2026-1-23 10:20

<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">paypal我还记得有个很抽象的德国DB扣费，也是这情况

*****

####  璇瑢子R  
##### 52#       发表于 2026-1-23 10:21

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072977&amp;ptid=2273023" target="_blank">烦不烦 发表于 2026-1-23 10:18</a>

我现在尽量用apple pay google pay 会生成一个虚拟卡号</blockquote>
apple pay这些也可以长期授权的。

我现在用的运营商就是apple pay支付0元保存支付信息，然后每个月到时候扣钱

*****

####  nianiania  
##### 53#       发表于 2026-1-23 10:21

你看连泥潭都要觉得是paypal有问题的，国外估计更多，这下paypal怕是真的要诉讼了

*****

####  五块  
##### 54#       发表于 2026-1-23 10:22

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072969&amp;ptid=2273023" target="_blank">璇瑢子R 发表于 2026-1-23 10:17</a>

这是看商家愿不愿意做这个让你选择的功能

VISA/MasterCard又不管这个</blockquote>
卡我知道给cvv就相当于给商家权限了，paypal目前没碰到过这种用一次就默认同意永久授权的情况。

*****

####  syndrome2032  
##### 55#       发表于 2026-1-23 10:23

国外这套信用支付体系线下还好。

线下信用卡刷卡还是要正常摁密码。
但线上我是一直觉得风险很大，只要能弄到弄到绑定的信用卡号和cvv码就可以直接开爆。

虽然有找补发现支付异常都可以取消，但是这完全没验证提醒也是心大。

*****

####  纸皮  
##### 56#       发表于 2026-1-23 10:24

<img src="https://static.stage1st.com/image/smiley/face2017/066.png" referrerpolicy="no-referrer">如果说是信用卡逻辑那就不奇怪了

上次曹大佐租个车刷卡被坑那事儿和下面的留子习以为常甚至推荐买个好保险实在是震撼
<img src="https://static.stage1st.com/image/smiley/face2017/066.png" referrerpolicy="no-referrer">有没有支付险啊，快进到支付险属于刚性支出

*****

####  酒瓶止迁  
##### 57#       发表于 2026-1-23 10:25

这个支付bug真是匪夷所思，这么大公司能这么草台的

*****

####  vacuumsword  
##### 58#       发表于 2026-1-23 10:26

单次交易，预授权还有自动续费/免密支付这些都是不同产品，不是同一套逻辑。
单次交易是买家发起，买家授权交易。多扣钱基本是渠道的锅。
预授权类似酒店前台押金，买家发起一笔授权额度，等实际消费发生后卖家有权从授权额度内扣款。授权额度内多扣了就是卖家的锅。
终末之地出问题的感觉是免密支付这个产品。买家单次授权，卖家可以在产品限制范围内随便扣费。上游具体是哪个鹰角账户提出充值申请对支付机构是不明的，完全是鹰角来指定对哪个支付账户提出扣款要求。

—— 来自 Xiaomi 2304FPN6DC, Android 16, [鹅球](https://www.pgyer.com/GcUxKd4w) v3.5.99


*****

####  熊边上  
##### 59#       发表于 2026-1-23 10:27

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072819&amp;ptid=2273023" target="_blank">logiccat 发表于 2026-1-22 21:01</a>
paypal本质上的业务逻辑是信用卡的线上化，信用卡授权就是这样的，在美国，授权是可以不经你完全同意的， ...</blockquote>
单次消费和recurring是不一样的，包括饭店在内的大部分消费都是单次消费，单词消费也可以事后多刷钱，但要么是刷的预授权，要么就是他们做了delayed charge，delayed charge需要是和那一次消费有关（比如租车行针对你某一次租车事后追加扣费）

*****

####  vacuumsword  
##### 60#       发表于 2026-1-23 10:29

讲道理这些支付产品和阿里腾讯没什么两样，并不是什么所谓美国信用卡逻辑。

—— 来自 Xiaomi 2304FPN6DC, Android 16, [鹅球](https://www.pgyer.com/GcUxKd4w) v3.5.99

*****

####  丹德里恩  
##### 61#       发表于 2026-1-23 10:29

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072929&amp;ptid=2273023" target="_blank">五块 发表于 2026-1-23 10:12</a>

“绑定”这个动作是不需要用户选择的吗？我记得付费的时候应该是有“是否储存该付费方式”的选项。

 ...</blockquote>
绑定这个动作就是用户（玩家）主动的，不然鹰角自己瞎编个token给PP，PP也不知道要扣谁的钱；哪怕真的蒙对了也会因为没签约而返回错误信息，所以楼友们不用担心自己莫名其妙被鹰角扣钱<img src="https://static.stage1st.com/image/smiley/face2017/003.png" referrerpolicy="no-referrer">

*****

####  烦不烦  
##### 62#       发表于 2026-1-23 10:30

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073001&amp;ptid=2273023" target="_blank">nianiania 发表于 2026-1-23 10:21</a>

你看连泥潭都要觉得是paypal有问题的，国外估计更多，这下paypal怕是真的要诉讼了 ...</blockquote>
paypal用户条款里有集体诉讼豁免的<img src="https://static.stage1st.com/image/smiley/face2017/049.png" referrerpolicy="no-referrer">


*****

####  lion_or_judas  
##### 63#       发表于 2026-1-23 10:30

看起来就是鹰角用了个线程不安全的全局类临时变量

把账号token之类的放里面然后线程之间串了

有朋友吐槽是不是直接AI写的代码没仔细测过<img src="https://static.stage1st.com/image/smiley/face2017/037.png" referrerpolicy="no-referrer">

*****

####  ビヤディ  
##### 64#       发表于 2026-1-23 10:31

粥批收收味儿。鹰角脑瘫傻逼一样。别拉别人背锅

*****

####  璇瑢子R  
##### 65#       发表于 2026-1-23 10:31

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073010&amp;ptid=2273023" target="_blank">五块 发表于 2026-1-23 10:22</a>

卡我知道给cvv就相当于给商家权限了，paypal目前没碰到过这种用一次就默认同意永久授权的情况。 ...</blockquote>

<img src="https://img.stage1st.com/forum/202601/23/102836qzpztw7qex2q0qhp.jpg" referrerpolicy="no-referrer">

<strong>Screenshot 2026-01-22 212809.jpg</strong> (50.78 KB, 下载次数: 0)

下载附件

2026-1-23 10:28 上传

看这个页面。这里面可以选择中止对某一个商家的绑定，或者换一张卡

比如我apple store就是是选择绑定的

但是比如APM就是一次性网购，但是商家绑了

*****

####  酱豆腐  
##### 66#       发表于 2026-1-23 10:31

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072838&amp;ptid=2273023" target="_blank">勿徊哉 发表于 2026-1-23 10:03</a>

不管是谁的锅，鹰角要撸几个人？</blockquote>
撸几个人已经无所谓了，现在他最头疼的是要和外面一棒子讼棍打官司了，估计够喝一壶了，一波下来说不定一大波裁员都有可能。

*****

####  久島鴎  
##### 67#       发表于 2026-1-23 10:31

cvv这种纯静态验证本身就是屎山，遇到问题只能靠自己chargeback<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">

—— 来自 vivo V2366GA, Android 16, [鹅球](https://www.pgyer.com/xfPejhuq) v3.5.99-alpha

*****

####  gammatau  
##### 68#       发表于 2026-1-23 10:33

因为paypal很早，是web时代的，基本的验证逻辑就是信用卡逻辑：每个用户有一个长效token，你知道token就可以随便扣。是不是很像信用卡的知道卡号和验证就可以随便刷？安全性你跟商家说去吧，商家有责任保护你的token不被乱用。

这个业务逻辑下出了问题靠用户像信用卡一样及时申诉，paypal或者商家把消费回滚解决。

谷歌pay，蓝绿是移动时代的逻辑，每次消费需要一个与你的设备绑定的密钥。比如谷歌pay上即使你注册了最不安全的信用卡支付，换一台设备支付时谷歌也要先验证这个设备是你的已注册设备，登的是你的号才能刷掉钱。

paypal应该是有包含设备验证的新支付逻辑的，可能开发者嫌麻烦吧，毕竟多一个验证还要适配各种平台的security enclave

*****

####  伊宁亚克  
##### 69#       发表于 2026-1-23 10:35

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072728&amp;ptid=2273023" target="_blank">平贺才人 发表于 2026-1-23 09:48</a>
就算有锅撑死1成，国外就这大环境

**内微信支付宝开个什么服务的自动扣费功能碰上鹰角这样艹台的理论也 ...</blockquote>
鹰角是惊天第一案吧，同样上线海外的原神，鸣潮之类的也绷住了，大概率是鹰角自己的问题


*****

####  五块  
##### 70#       发表于 2026-1-23 10:37

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073087&amp;ptid=2273023" target="_blank">璇瑢子R 发表于 2026-1-23 10:31</a>

看这个页面。这里面可以选择中止对某一个商家的绑定，或者换一张卡

比如我apple store就是是选择绑定的 ...</blockquote>
那其实还是商家问题，你不问我要不要绑定就给我绑了，你有那能力吗？

paypal的锅在我们国内用户看来就是——商家要你就给啊？我还没同意呢！

*****

####  hxy8241  
##### 71#       发表于 2026-1-23 10:38

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073100&amp;ptid=2273023" target="_blank">gammatau 发表于 2026-1-23 10:33</a>
因为paypal很早，是web时代的，基本的验证逻辑就是信用卡逻辑：每个用户有一个长效token，你知道token就可 ...</blockquote>
自动扣款的逻辑是一样的，Google pay绑定了一样直接扣款的，都不需要设备的。

*****

####  Raising_Heart  
##### 72#       发表于 2026-1-23 10:38

可以用国内的例子来理解

比如说你网盘有自动续费，那就相当于你授权了运营商能从你账户划钱。

现在出的问题就是别人续费也从你这划钱

*****

####  空洞骑士  
##### 73#       发表于 2026-1-23 10:39

楼主用过PayPal吗，PayPal支付不需要输密码确认，你的流程实际可能1直接到4。

*****

####  洛克萨斯  
##### 74#       发表于 2026-1-23 10:40

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073147&amp;ptid=2273023" target="_blank">五块 发表于 2026-1-23 10:37</a>

那其实还是商家问题，你不问我要不要绑定就给我绑了，你有那能力吗？

paypal的锅在我们国内用户看来就是 ...</blockquote>
渠道没锅，你鹰角是什么高风险商户需要ppl24小时盯着交易么？正常入网商户没有持卡人投诉或者上级部门要求调单是没有这个闲工夫管的

*****

####  gammatau  
##### 75#       发表于 2026-1-23 10:40

<blockquote>hxy8241 发表于 2026-1-23 10:38
自动扣款的逻辑是一样的，Google pay绑定了一样直接扣款的，都不需要设备的。 ...</blockquote>
这才第一天，被刷爆的很明显不是自动扣款而是支付账户关联问题吧


*****

####  hxy8241  
##### 76#       发表于 2026-1-23 10:41

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073147&amp;ptid=2273023" target="_blank">五块 发表于 2026-1-23 10:37</a>
那其实还是商家问题，你不问我要不要绑定就给我绑了，你有那能力吗？

paypal的锅在我们国内用户看来就是 ...</blockquote>
国内也一样得啊，支付宝绑定了水电费，一样是不需要同意就扣费的。绑定这个操作就代表你信对方了。只是国内没出现过扣错了而已，哪怕国外，除了鹰角也没听说其他公司扣错账号。

*****

####  lion_or_judas  
##### 77#       发表于 2026-1-23 10:42

说的pp这么不堪，国内扫码支付，安全也全靠渠道侧啊，发卡方也只存绑定的协议token啊，我以前戏称是三无交易，无卡无密无cvv

*****

####  a4ac7  
##### 78#       发表于 2026-1-23 10:42

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072666&amp;ptid=2273023" target="_blank">挖泥船 发表于 2026-1-23 09:41</a>
不都可以吗？只要你同意某某软件可以对你自动扣款之后。

微信支付宝的自动续费本质也是这样</blockquote>
不一样，paypal这个是张三自动续费请求扣在李四身上

—— 来自 HUAWEI PLA-AL10, Android 12, [鹅球](https://www.pgyer.com/GcUxKd4w) v3.5.99


*****

####  烦不烦  
##### 79#       发表于 2026-1-23 10:44

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073087&amp;ptid=2273023" target="_blank">璇瑢子R 发表于 2026-1-23 10:31</a>

看这个页面。这里面可以选择中止对某一个商家的绑定，或者换一张卡

比如我apple store就是是选择绑定的 ...</blockquote>
草啊 我看了下我的确实有好多买了一次的都注册了autopay  全都取消了

*****

####  熊边上  
##### 80#       发表于 2026-1-23 10:45

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073198&amp;ptid=2273023" target="_blank">a4ac7 发表于 2026-1-22 21:42</a>
不一样，paypal这个是张三自动续费请求扣在李四身上

—— 来自 HUAWEI PLA-AL10, Android 12, 鹅球 v3.5 ...</blockquote>
但这不是paypal自己扣错了，是商家通知paypal收钱的那个对像错了


*****

####  广州粉肠  
##### 81#       发表于 2026-1-23 10:46

我能不能这么理解

用户A                              服务器                              paypal

               --发起支付-&gt;

                                                    --请求支付凭证-&gt;

                                                   &lt;-返回支付凭证a--

                                 将A和a绑定起来

        &lt;-提示用户验证--

         -------------------用户确认支付-----------------&gt;

                                                 &lt;-返回该token支付成功--

                 服务器给token a对应的用户A充值

*****

####  五块  
##### 82#       发表于 2026-1-23 10:46

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073168&amp;ptid=2273023" target="_blank">洛克萨斯 发表于 2026-1-23 10:40</a>

渠道没锅，你鹰角是什么高风险商户需要ppl24小时盯着交易么？正常入网商户没有持卡人投诉或者上级部门要 ...</blockquote>
我是从国内用户的角度看，毕竟微信支付宝没干过付一次款没问我就给我绑定永久授权的这种事，按上面那位的说法是国外可能出现这种情况。

*****

####  hgfdsa  
##### 83#         楼主| 发表于 2026-1-23 10:47

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073193&amp;ptid=2273023" target="_blank">hxy8241 发表于 2026-1-23 10:41</a>

国内也一样得啊，支付宝绑定了水电费，一样是不需要同意就扣费的。绑定这个操作就代表你信对方了。只是国 ...</blockquote>
集成支付平台要审核，自动扣款要有明确的描述，让用户签约前了解这个信息

目前我没看到有人贴终末地的支付界面，不知道有没有相应描述

*****

####  CCauchy  
##### 84#       发表于 2026-1-23 10:47

安全码就是这样的啊

[论坛助手,iPhone](https://stage1st.com/2b/forum.php?mod=viewthread&amp;tid=2029836)

*****

####  巨魔已被忠诚  
##### 85#       发表于 2026-1-23 10:48

PP也有一点的锅吧，

信用卡盗刷都是相同币种可能性比较高吧，短时间内不同币种发起高频支付都能成，不管怎么看都属于异常流水了，本身风控有点问题。

也不太对，它是在还款的时候把账号冻结了。

*****

####  格林达姆  
##### 86#       发表于 2026-1-23 10:49

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073168&amp;ptid=2273023" target="_blank">洛克萨斯 发表于 2026-1-23 10:40</a>
渠道没锅，你鹰角是什么高风险商户需要ppl24小时盯着交易么？正常入网商户没有持卡人投诉或者上级部门要 ...</blockquote>
记得当年应该就是少前外服上线，因为短期流水过大触发风控导致云母账号被锁<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">
翀和海猫这俩逼指定有点说法

*****

####  hxy8241  
##### 87#       发表于 2026-1-23 10:50

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073198&amp;ptid=2273023" target="_blank">a4ac7 发表于 2026-1-23 10:42</a>
不一样，paypal这个是张三自动续费请求扣在李四身上

—— 来自 HUAWEI PLA-AL10, Android 12, 鹅球 v3.5 ...</blockquote>
理论上国内也是可能扣错的。流程都是一样的。


*****

####  洛克萨斯  
##### 88#       发表于 2026-1-23 10:51

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073243&amp;ptid=2273023" target="_blank">巨魔已被忠诚 发表于 2026-1-23 10:48</a>

PP也有一点的锅吧，

信用卡盗刷都是相同币种可能性比较高吧，短时间内不同币种发起高频支付都能成，不管怎 ...</blockquote>
看商户类型的啊，你一个游戏公司盗刷图啥啊，又不能提现

*****

####  hxy8241  
##### 89#       发表于 2026-1-23 10:53

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073230&amp;ptid=2273023" target="_blank">五块 发表于 2026-1-23 10:46</a>
我是从国内用户的角度看，毕竟微信支付宝没干过付一次款没问我就给我绑定永久授权的这种事，按上面那位的 ...</blockquote>
不可能没问，只是没仔细看那一大堆协议而已。

*****

####  nianiania  
##### 90#       发表于 2026-1-23 10:54

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073077&amp;ptid=2273023" target="_blank">烦不烦 发表于 2026-1-23 10:30</a>
paypal用户条款里有集体诉讼豁免的</blockquote>
我是说PayPal要去诉讼鹰角把锅甩出去，不是被诉讼<img src="https://static.stage1st.com/image/smiley/face2017/068.png" referrerpolicy="no-referrer">

—— 来自 vivo V2405A, Android 16, [鹅球](https://www.pgyer.com/GcUxKd4w) v3.5.99


*****

####  gnihton314  
##### 91#       发表于 2026-1-23 10:55

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073023&amp;ptid=2273023" target="_blank">syndrome2032 发表于 2026-1-23 10:23</a>

国外这套信用支付体系线下还好。

线下信用卡刷卡还是要正常摁密码。</blockquote>
线下绝大多数时候也不输密码的

*****

####  hxy8241  
##### 92#       发表于 2026-1-23 10:56

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073237&amp;ptid=2273023" target="_blank">hgfdsa 发表于 2026-1-23 10:47</a>
集成支付平台要审核，自动扣款要有明确的描述，让用户签约前了解这个信息

目前我没看到有人贴终末地的支 ...</blockquote>
哪怕没有也是鹰角的问题，PayPal不可能去审核鹰角的协议。PayPal自己的协议不会有问题得。

*****

####  makiRicardo  
##### 93#       发表于 2026-1-23 10:56

感觉核心问题可能还是设计上token未强绑定业务uid，导致支付授权作用域约束失败；同时支付异步回调一致性校验不足，状态机边界被击穿
至于有人分析的redis线程池问题，如果确实存在的话更大可能是把问题放大，而非底层原因

[论坛助手,iPhone](https://stage1st.com/2b/forum.php?mod=viewthread&amp;tid=2029836)

*****

####  jannine  
##### 94#       发表于 2026-1-23 10:56

Paypal和信用卡差不多，你在某个网站选择默认支付方式是pp后，假如你网站的账号被盗了，甚至不需要二次验证，盗号的人可以通过各种方式套走你pp里的钱，当然你可以去申请拒付（chargeback）把钱找回来，但那是另外一回事了。

想象一下，你的美团默认付款方式是你的支付宝，结果你美团号被盗了，有人用你的美团号买几台最新的iphone送他家，然后跑路了，这钱就从你支付宝扣款了，几万的大额也不需要二次验证，你要做的是去找支付宝申诉这钱不是你付的，让卖iphone的商家退钱。

至于支付宝和美团这种平台为什么不验证？想什么呢，因为他们把核实支付信息的责任丢给了商家，这就是国外支付的玩法。

我们做海外业务的，大额信用卡账单和实际收货人姓名和地址必须一致，不一致的会去信要求手持信用卡+身份证件露脸拍照做二次确认。

因为你不知道对方是不是真卡主，经验不够的新手遇到大订单账单不一致就敢发货，结果发给了盗卡人，盗卡的把货拿走，卡主申诉把钱拿回去，商家双倍损失。

我不懂技术，但就我跟Paypal打了十多年交道的感觉，这事五五分，pp不一定有技术上的责任，但是他们甩锅的业务设计逻辑就有问题。

这么多年了国外信用卡和pp盗刷都成产业链了，微信支付宝才十多年，有谁见过盗刷微信和支付宝成产业链的么？犯罪分子都只能靠诈骗让账户所有者自己转账。

*****

####  OrianaThomson  
##### 95#       发表于 2026-1-23 11:00

有专业码农分析下吗<img src="https://static.stage1st.com/image/smiley/face2017/001.png" referrerpolicy="no-referrer">


*****

####  apefrank  
##### 96#       发表于 2026-1-23 11:02

这种关键功能没一个像pcie，usb那样的行业标准的吗？都是各家自己重新搓轮子？

*****

####  hxy8241  
##### 97#       发表于 2026-1-23 11:03

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073307&amp;ptid=2273023" target="_blank">jannine 发表于 2026-1-23 10:56</a>
Paypal和信用卡差不多，你在某个网站选择默认支付方式是pp后，假如你网站的账号被盗了，甚至不需要二次验证 ...</blockquote>
PayPal可没有盗刷，盗刷只是信用卡。微信支付宝只是没遇到鹰角而已，这套代码在国内用的话我想不出微信和支付宝有什么可能避免。

*****

####  九皋  
##### 98#       发表于 2026-1-23 11:04

paypal本质上信用卡逻辑，所以确实被设计为不需用户确认的模式。

但很明显paypal的风控是有问题的，短时间多币种账单怎么看都是异常情况涉及盗刷，这个时候就应该锁定通知用户了。

当然了可能paypal也没想到能有正规商家搞盗刷<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">


*****

####  五块  
##### 99#       发表于 2026-1-23 11:06

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073307&amp;ptid=2273023" target="_blank">jannine 发表于 2026-1-23 10:56</a>

Paypal和信用卡差不多，你在某个网站选择默认支付方式是pp后，假如你网站的账号被盗了，甚至不需要二次验证 ...</blockquote>
想象不来，毕竟国内这两平台目前还没见过不用我授权就给商户永久免验证的。

paypal主要是用得少不敢下结论。

*****

####  logiccat  
##### 100#       发表于 2026-1-23 11:06

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072847&amp;ptid=2273023" target="_blank">五块 发表于 2026-1-23 10:04</a>

你的意思是paypal付一次=永久授权免验证？

但就我在一些国外网站上用下来并非如此，只要不绑定就每次付 ...</blockquote>
不，我的意思是paypal可能有相关的与信用卡类似授权办法，LZ提到的坑可能与之有关，仅是一种推测。

*****

####  hgfdsa  
##### 101#         楼主| 发表于 2026-1-23 11:07

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073330&amp;ptid=2273023" target="_blank">OrianaThomson 发表于 2026-1-23 11:00</a>

有专业码农分析下吗</blockquote>
我就是啊，十多年前还做过paypal的项目，不过做了一半甲方要我们换成了realex

*****

####  洛克萨斯  
##### 102#       发表于 2026-1-23 11:07

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073365&amp;ptid=2273023" target="_blank">九皋 发表于 2026-1-23 11:04</a>

paypal本质上信用卡逻辑，所以确实被设计为不需用户确认的模式。

但很明显paypal的风控是有问题的，短时间 ...</blockquote>
<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">你不是赌博类的游戏谁看你啊

*****

####  lion_or_judas  
##### 103#       发表于 2026-1-23 11:08

我有朋友都在怀疑是不是鹰角在洗钱，不小心用错了支付账户<img src="https://static.stage1st.com/image/smiley/face2017/037.png" referrerpolicy="no-referrer">

*****

####  小川彩  
##### 104#       发表于 2026-1-23 11:08

 本帖最后由 小川彩 于 2026-1-23 11:09 编辑 

鹰小将收收味 作为支付工具在确定绑定/订阅/免密之后 只负责针对有效的token扣钱 鬼知道你token和uid不是一一对应的啊 你的用户甲消费了发我一个你系统里乙的token怪我咯

就算放到国内 你的每月订阅的扣款也不需要你验证

[论坛助手,iPhone](https://stage1st.com/2b//forum.php?mod=viewthread&amp;tid=2029836)


*****

####  丹德里恩  
##### 105#       发表于 2026-1-23 11:10

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073226&amp;ptid=2273023" target="_blank">广州粉肠 发表于 2026-1-23 10:46</a>

我能不能这么理解

用户A                              服务器                              paypal

      ...</blockquote>
不是，你这个是首次绑定并支付的步骤，但少了校验，而他这个绑定和支付是分开的 

用户a发起绑定请求→服务器发到渠道→PayPal返回认证页面→用户a输入认证信息→PayPal校验成功返回tokenA→服务器绑定a和A

支付是另一步

用户a发起支付请求→服务器返回可选择渠道→用户a选择PayPal→服务器找到映射的tokenA并请求PayPal→PayPal找到用户a的账户完成扣款→一路返回到前端

*****

####  无音命题  
##### 106#       发表于 2026-1-23 11:13

paypal草台可以，但是这次大概率是追不到责.用户输入支付信息之后，通俗的说就是paypal从银行拿到密钥或者说凭证，然后商户也就是鹰角从paypal拿到paypal的凭证，这次至少目前看是鹰角处理paypal凭证出了问题...可能是同步异步或者其他原因
除非paypal扣款扣错卡了,否则paypal怎么都有话说

*****

####  makiRicardo  
##### 107#       发表于 2026-1-23 11:13

这真不能直接甩锅给paypal吧<img src="https://static.stage1st.com/image/smiley/face2017/001.png" referrerpolicy="no-referrer">硬要说paypal的锅也就是风控策略上，没有在识别到同一授权被异常频率调用或者不同用户上下文短时间内触发后主动进行拦截
但是支付平台底层就是默认商户是可信执行者，合法商户+合法token+合法金额=合法扣款，paypal根本无法直接看到交易过程中出现错误

[论坛助手,iPhone](https://stage1st.com/2b/forum.php?mod=viewthread&amp;tid=2029836)

*****

####  hxy8241  
##### 108#       发表于 2026-1-23 11:14

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073169&amp;ptid=2273023" target="_blank">gammatau 发表于 2026-1-23 10:40</a>
这才第一天，被刷爆的很明显不是自动扣款而是支付账户关联问题吧</blockquote>
被刷都是签了自动扣款的。是鹰角扣错了账号。
没签自动扣款的不可能被扣钱。

*****

####  Nanachi  
##### 109#       发表于 2026-1-23 11:14

本質還是國內人用信用卡用得太少，全都用微信支付寶的邏輯來量

[论坛助手,iPhone](https://stage1st.com/2b//forum.php?mod=viewthread&amp;tid=2029836)


*****

####  makiRicardo  
##### 110#       发表于 2026-1-23 11:15

除非有人就是想骂paypal风控策略不够激进<img src="https://static.stage1st.com/image/smiley/face2017/002.png" referrerpolicy="no-referrer">

[论坛助手,iPhone](https://stage1st.com/2b/forum.php?mod=viewthread&amp;tid=2029836)

*****

####  redbuck  
##### 111#       发表于 2026-1-23 11:15

信用卡体系是这样的，拿到授权随便扣。
所以才会出现那种一次性的虚拟信用卡，用完就注销。完美地解决了一个不存在的问题<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">


*****

####  洛克萨斯  
##### 112#       发表于 2026-1-23 11:18

<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">非赌博类的游戏不会采取很大限制的风控策略的，要是所有带付费项目的游戏都按照高风险商户去风控，那还怎么做生意，给你单卡单日上限100美金是吧

*****

####  hxy8241  
##### 113#       发表于 2026-1-23 11:21

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073383&amp;ptid=2273023" target="_blank">五块 发表于 2026-1-23 11:06</a>
想象不来，毕竟国内这两平台目前还没见过不用我授权就给商户永久免验证的。

paypal主要是用得少不敢下结 ...</blockquote>
有的，水电费就是，如果国家电网搞错了，支付宝能不能拦截也是未知得。


*****

####  五块  
##### 114#       发表于 2026-1-23 11:23

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073517&amp;ptid=2273023" target="_blank">hxy8241 发表于 2026-1-23 11:21</a>

有的，水电费就是，如果国家电网搞错了，支付宝能不能拦截也是未知得。 ...</blockquote>
我微信支付宝绑定生活缴费自动扣款也是要确认的啊，平常用来付款每次要验证。

*****

####  bromine0x23  
##### 115#       发表于 2026-1-23 11:24

<img src="https://static.stage1st.com/image/smiley/face2017/037.png" referrerpolicy="no-referrer">首先众所周知YJ没有测试

*****

####  hgfdsa  
##### 116#         楼主| 发表于 2026-1-23 11:24

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073453&amp;ptid=2273023" target="_blank">hxy8241 发表于 2026-1-23 11:14</a>

被刷都是签了自动扣款的。是鹰角扣错了账号。

没签自动扣款的不可能被扣钱。 ...</blockquote>
自动扣款要签约，开发流程比直接支付麻烦的多，我不觉得鹰角的草台班子会做

*****

####  jeokeo  
##### 117#       发表于 2026-1-23 11:28

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072920&amp;ptid=2273023" target="_blank">璇瑢子R 发表于 2026-1-23 10:12</a>
因为一般网购都有几个选项

1：手动输入信用卡卡号/CVC

2：银行ACH</blockquote>
保存cvv是非法的


*****

####  hxy8241  
##### 118#       发表于 2026-1-23 11:29

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073539&amp;ptid=2273023" target="_blank">五块 发表于 2026-1-23 11:23</a>
我微信支付宝绑定生活缴费自动扣款也是要确认的啊，平常用来付款每次要验证。 ...</blockquote>
你真开了自动扣款吗?我从来没有确认过就扣了，

*****

####  ma05758  
##### 119#       发表于 2026-1-23 11:32

微信绑了高德打车 从来都是不确认自己扣款的  


*****

####  hxy8241  
##### 120#       发表于 2026-1-23 11:33

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073552&amp;ptid=2273023" target="_blank">hgfdsa 发表于 2026-1-23 11:24</a>
自动扣款要签约，开发流程比直接支付麻烦的多，我不觉得鹰角的草台班子会做 ...</blockquote>
可能支付宝这些比较麻烦只有水电费才做自动扣款吧，鹰角确实做了PayPal的自动扣款，然后扣错了。所有扣错的都签约了自动扣款。


*****

####  格林达姆  
##### 121#       发表于 2026-1-23 11:37

 本帖最后由 格林达姆 于 2026-1-23 11:42 编辑 
<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073330&amp;ptid=2273023" target="_blank">OrianaThomson 发表于 2026-1-23 11:00</a>
有专业码农分析下吗</blockquote>
我进入游戏，要买月卡，不可能每个月手动下单。于是我把支付宝账号密码(当然实际上并不是账号密码)给厂商。
一个月后某月黑风高的半夜，在我熟睡时厂商看是时候动手了，就拿我的账号找支付宝要钱。支付宝那边又有我的银行卡信息，一看来单了就把钱扣了给厂商。我得到了本月月卡奖励。以后要氪金也一样，直接跟厂商喊一声我要氪多少，厂商自己拿账号去慢慢搞钱，真是太方便了!皆大欢喜。

免密支付大概可以这样理解。

现在的情况是，有一百个人进入游戏，把支付宝账号密码给厂商。然后这一百个人下了一堆订单，接着……厂商就傻了。突发恶疾头昏脑胀分不清谁是谁。随便拿了个倒霉用户的账号，对着这堆订单找支付宝要钱。支付宝可能惊叹一句，哈哈这人消费这么猛啊，然后把钱扣了给厂商。<img src="https://static.stage1st.com/image/smiley/face2017/068.png" referrerpolicy="no-referrer">


*****

####  a4ac7  
##### 122#       发表于 2026-1-23 11:43

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073653&amp;ptid=2273023" target="_blank">格林达姆 发表于 2026-1-23 11:37</a>
我进入游戏，要买月卡，不可能每个月手动下单。于是我把支付宝账号密码(当然实际上并不是账号密码)给厂商 ...</blockquote>
免密支付场景是有点类似，不过国内是和用户身份，订单绑定的，国外是和商户绑定，走的信用卡逻辑，本身不能算漏洞吧，算feature<img src="https://static.stage1st.com/image/smiley/face2017/037.png" referrerpolicy="no-referrer">

不过安全性上刷卡和线上支付确实有高下了

—— 来自 HUAWEI PLA-AL10, Android 12, [鹅球](https://www.pgyer.com/GcUxKd4w) v3.5.99

*****

####  hgfdsa  
##### 123#         楼主| 发表于 2026-1-23 11:45

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073653&amp;ptid=2273023" target="_blank">格林达姆 发表于 2026-1-23 11:37</a>

我进入游戏，要买月卡，不可能每个月手动下单。于是我把支付宝账号密码(当然实际上并不是账号密码)给厂商 ...</blockquote>
你的理解是错的，免密支付是在我首楼写的第三步，支付平台自动选择默认卡跳过安全验证输入，但是这个流程要走，支付平台的页面要打开，支付平台实际上还是验证了是否常用ip是否常用手机这些。

自动扣款是用户签约后，可以直接在服务器发起支付，完全不经过用户就扣费，平台审核要严谨的多，必须要有完整的引导流程给用户，不能随便开。


*****

####  mwj  
##### 124#       发表于 2026-1-23 11:46

<blockquote>五块 发表于 2026-1-23 11:06
想象不来，毕竟国内这两平台目前还没见过不用我授权就给商户永久免验证的。

paypal主要是用得少不敢下结 ...</blockquote>
paypal也有要授权吧，只不过是藏在那堆大部分人不会看的用户协议里了。

*****

####  格林达姆  
##### 125#       发表于 2026-1-23 11:48

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073718&amp;ptid=2273023" target="_blank">hgfdsa 发表于 2026-1-23 11:45</a>
你的理解是错的，免密支付是在我首楼写的第三步，支付平台自动选择默认卡跳过安全验证输入，但是这个流程 ...</blockquote>
<img src="https://static.stage1st.com/image/smiley/face2017/068.png" referrerpolicy="no-referrer">我也头昏脑胀说错了，本来想说自动扣款来着

*****

####  棍机凹升龙  
##### 126#       发表于 2026-1-23 11:50

还没看到协议图，结果没人玩的吗<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">


*****

####  lion_or_judas  
##### 127#       发表于 2026-1-23 11:52

我其实蛮好奇为啥有人觉得每次交易都会有一次性的账户token生成

我不说pp就说网联银联吧，协议支付的签约绑定的token都是存下来的呀

一次性的token那是临时会话的通信token而已。支付的时候又不用

我猜就是鹰角这个token存在了一个全局变量里，然后这个变量线程不安全，并发高的时候直接串了（不知道pp的支付交易是批量打包的吗）

等于说鹰角主动发起了盗刷。我还有一个同事说是不是他们本来在xiqian，然后不小心用错了账号<img src="https://static.stage1st.com/image/smiley/face2017/037.png" referrerpolicy="no-referrer">

*****

####  downnote  
##### 128#       发表于 2026-1-23 11:53

为什么其他支付方式没有出现问题，其他支付方式都是信用卡之类的，没有类似paypal网络支付平台吗？

*****

####  lion_or_judas  
##### 129#       发表于 2026-1-23 11:54

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073786&amp;ptid=2273023" target="_blank">downnote 发表于 2026-1-23 11:53</a>

为什么其他支付方式没有出现问题，其他支付方式都是信用卡之类的，没有类似paypal网络支付平台吗？ ...</blockquote>
有没有可能每个支付渠道都要单独开发对接前置呢<img src="https://static.stage1st.com/image/smiley/face2017/034.png" referrerpolicy="no-referrer">

举个例子国内网联和银联规范就是不一样的


*****

####  jeokeo  
##### 130#       发表于 2026-1-23 11:56

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073781&amp;ptid=2273023" target="_blank">lion_or_judas 发表于 2026-1-23 11:52</a>
我其实蛮好奇为啥有人觉得每次交易都会有一次性的账户token生成

我不说pp就说网联银联吧，协议支付的签约绑 ...</blockquote>
是的，确实很难理解这个行为

*****

####  hxy8241  
##### 131#       发表于 2026-1-23 11:56

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073786&amp;ptid=2273023" target="_blank">downnote 发表于 2026-1-23 11:53</a>
为什么其他支付方式没有出现问题，其他支付方式都是信用卡之类的，没有类似paypal网络支付平台吗？ ...</blockquote>
其他方式软件逻辑没写错吧，除了鹰角，其他公司PayPal也没有扣错过。应该只是单纯这部分代码的问题。

*****

####  hgfdsa  
##### 132#         楼主| 发表于 2026-1-23 11:58

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073781&amp;ptid=2273023" target="_blank">lion_or_judas 发表于 2026-1-23 11:52</a>

我其实蛮好奇为啥有人觉得每次交易都会有一次性的账户token生成

我不说pp就说网联银联吧，协议支付的签约绑 ...</blockquote>
<img src="http://mdn.alipayobjects.com/afts/img/A*TKy2TKpVL3wAAAAAAAAAAAAAAa8wAA/original?bz=openpt_doc&amp;t=4msaCTXlxU0OKJWNkWsscvHbSGcA6jWukIuBa4lIU0UDAAAAZAAAMK8AAAAA" id="aimg_ue3YB" lazyloadthumb="1" onclick="zoom(this, this.src, 0, 0, 0)" onmouseover="img_onmouseoverfunc(this)">

*****

####  hxy8241  
##### 133#       发表于 2026-1-23 12:02

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073835&amp;ptid=2273023" target="_blank">hgfdsa 发表于 2026-1-23 11:58</a></blockquote>
这不是自动扣款的流程。自动扣水电费没有用户确认的步骤。


*****

####  mwj  
##### 134#       发表于 2026-1-23 12:02

<blockquote>lion_or_judas 发表于 2026-1-23 11:52
我其实蛮好奇为啥有人觉得每次交易都会有一次性的账户token生成

我不说pp就说网联银联吧，协议支付的签约绑 ...</blockquote>
token放全局变量太离谱了吧，就算是全局变量也应该是个map通过用户id获取token啊。


*****

####  hxy8241  
##### 135#       发表于 2026-1-23 12:06

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073859&amp;ptid=2273023" target="_blank">mwj 发表于 2026-1-23 12:02</a>
token放全局变量太离谱了吧，就算是全局变量也应该是个map通过用户id获取token啊。 ...</blockquote>
不离谱也不会扣错账户，这个说法不一定对，但是最终原因肯定很离谱。

*****

####  jannine  
##### 136#       发表于 2026-1-23 12:07

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073786&amp;ptid=2273023" target="_blank">downnote 发表于 2026-1-23 11:53</a>

为什么其他支付方式没有出现问题，其他支付方式都是信用卡之类的，没有类似paypal网络支付平台吗？ ...</blockquote>
我不太清楚游戏领域，跨境电商这块信用卡网关很多是自带风控的，短时间内发生高频交易会被拦截，网关后台可以查看到拦截的客户信息，客服可以去信做二次转化

Paypal我之前在商户后台看不出来做了风控的

*****

####  lion_or_judas  
##### 137#       发表于 2026-1-23 12:08

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073835&amp;ptid=2273023" target="_blank">hgfdsa 发表于 2026-1-23 11:58</a></blockquote>
哦这是终端和渠道对接的流程，却还是我知识盲区，我是做发卡的，快捷支付在发卡看来都是三无交易

*****

####  hgfdsa  
##### 138#         楼主| 发表于 2026-1-23 12:09

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073856&amp;ptid=2273023" target="_blank">hxy8241 发表于 2026-1-23 12:02</a>

这不是自动扣款的流程。自动扣水电费没有用户确认的步骤。</blockquote>
我说的同意是同意签约，只需要一次确认就能签约，不信你去投诉，支护宝会找出证据给你。


*****

####  hgfdsa  
##### 139#         楼主| 发表于 2026-1-23 12:13

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073893&amp;ptid=2273023" target="_blank">lion_or_judas 发表于 2026-1-23 12:08</a>

哦这是终端和渠道对接的流程，却还是我知识盲区，我是做发卡的，快捷支付在发卡看来都是三无交易 ...</blockquote>
看了下paypal的文档，也是一样的，创建一次性order_id，后面支付接口用这个order_id
[https://developer.paypal.com/docs/checkout/advanced/android/](https://developer.paypal.com/docs/checkout/advanced/android/)


*****

####  hxy8241  
##### 140#       发表于 2026-1-23 12:16

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073901&amp;ptid=2273023" target="_blank">hgfdsa 发表于 2026-1-23 12:09</a>
我说的同意是同意签约，只需要一次确认就能签约，不信你去投诉，支护宝会找出证据给你。 ...</blockquote>
那PayPal也是一样的啊，你不会以为鹰角扣了没签约人的钱吧。

*****

####  五块  
##### 141#       发表于 2026-1-23 12:16

<blockquote>hxy8241 发表于 2026-1-23 11:29
你真开了自动扣款吗?我从来没有确认过就扣了，</blockquote>
你理解错了我上一句，商户永久免验证也就是自动扣款是需要我同意才开通的，开通之前是无论我付了多少次，每一次都要验证。

*****

####  gammatau  
##### 142#       发表于 2026-1-23 12:18

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073453&amp;ptid=2273023" target="_blank">hxy8241 发表于 2026-1-23 11:14</a>

被刷都是签了自动扣款的。是鹰角扣错了账号。

没签自动扣款的不可能被扣钱。 ...</blockquote>
这也是，自动扣款token是商家拿着，使用确实在逻辑上更容易出错

但这么一想，paypal居然不检查一个月票订阅token是不是被频繁使用，paypal更离谱了

*****

####  五块  
##### 143#       发表于 2026-1-23 12:20

<blockquote>mwj 发表于 2026-1-23 11:46
paypal也有要授权吧，只不过是藏在那堆大部分人不会看的用户协议里了。</blockquote>

我的理解是要有，就我实际使用中商户确实也是需要我绑定或者同意或者什么其他的授权动作，但是有人说部分商户是可以不需要你同意就给永久授权的，这就属于我的知识盲区了。

*****

####  hxy8241  
##### 144#       发表于 2026-1-23 12:21

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073947&amp;ptid=2273023" target="_blank">五块 发表于 2026-1-23 12:16</a>
你理解错了我上一句，商户永久免验证也就是自动扣款是需要我同意才开通的，开通之前是无论我付了多少次， ...</blockquote>
那PayPal也一样，所有自动扣款都是需要用户确认的。这次扣款都是签约自动扣款的，不是随便找个人就扣了。


*****

####  hxy8241  
##### 145#       发表于 2026-1-23 12:24

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073976&amp;ptid=2273023" target="_blank">五块 发表于 2026-1-23 12:20</a>
我的理解是要有，就我实际使用中商户确实也是需要我绑定或者同意或者什么其他的授权动作，但是有人说部分 ...</blockquote>
绝大部分都是没看用户协议。

*****

####  sannaha  
##### 146#       发表于 2026-1-23 12:24

想起了在国外某个平台绑了信用卡，后来不需要用了但每月还发账单邮件过来(账单金额为0)。想解绑但提示必须保留至少一种支付方式，搜了一圈看到可以提工单说自己的账号不使用了，让客服后台操作解绑信用卡。工单提上去过几天账号被注销无法登录，但账单邮件照发<img src="https://static.stage1st.com/image/smiley/face2017/004.gif" referrerpolicy="no-referrer">现在感觉哪天被扣款了连工单都提不了<img src="https://static.stage1st.com/image/smiley/face2017/001.png" referrerpolicy="no-referrer">

—— 来自 [S1Fun](https://s1fun.koalcat.com)


*****

####  无音命题  
##### 147#       发表于 2026-1-23 12:26

用户第一次支付的时候应该是触发3DS认证，然后同意后续扣款，后续就是走MIT了.否则每次都会有验证的，你说第一次没授权paypal就敢后续扣款，那有应该轮不到今天炸<img src="https://static.stage1st.com/image/smiley/face2017/068.png" referrerpolicy="no-referrer">

*****

####  hxy8241  
##### 148#       发表于 2026-1-23 12:26

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69074011&amp;ptid=2273023" target="_blank">sannaha 发表于 2026-1-23 12:24</a>
想起了在国外某个平台绑了信用卡，后来不需要用了但每月还发账单邮件过来(账单金额为0)。想解绑但提示必须 ...</blockquote>
可以找银行解绑。

*****

####  碧池团团子  
##### 149#       发表于 2026-1-23 12:28

<blockquote>g8287694 发表于 2026-1-22 22:54
这个图片我觉得有点瞎扯，当然我没对接过PayPal的支付，但是我对接过很多渠道的支付

这个放入线程池我就 ...</blockquote>
一般返回你提交的流水号+三方的流水号来着


*****

####  sannaha  
##### 150#       发表于 2026-1-23 12:33

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69074024&amp;ptid=2273023" target="_blank">hxy8241 发表于 2026-1-23 12:26</a>
可以找银行解绑。</blockquote>
这种是预留CVV的，APP上看不到，我能想到的办法只有换卡

—— 来自 [S1Fun](https://s1fun.koalcat.com)


*****

####  xiuwf  
##### 151#       发表于 2026-1-23 12:37

顺带说一句这游戏也是真的烂

希望不要影响被舟 

还期待以后一直有卫戍协议玩...<img src="https://static.stage1st.com/image/smiley/face2017/003.png" referrerpolicy="no-referrer">

*****

####  螺旋的小夜曲  
##### 152#       发表于 2026-1-23 12:40

所以说全面测试一定要全面

*****

####  zmw_831110  
##### 153#       发表于 2026-1-23 12:41

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69074011&amp;ptid=2273023" target="_blank">sannaha 发表于 2026-1-23 12:24</a>

想起了在国外某个平台绑了信用卡，后来不需要用了但每月还发账单邮件过来(账单金额为0)。想解绑但提示必须 ...</blockquote>
要不...把信用卡销卡<img src="https://static.stage1st.com/image/smiley/face2017/037.png" referrerpolicy="no-referrer">


*****

####  ビヤディ  
##### 154#       发表于 2026-1-23 12:53

粥批已经开始四处出击。捂嘴了。以后乐子绝对少不了


*****

####  hxy8241  
##### 155#       发表于 2026-1-23 13:02

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073961&amp;ptid=2273023" target="_blank">gammatau 发表于 2026-1-23 12:18</a>
这也是，自动扣款token是商家拿着不需要设备物理验证，使用确实在逻辑上更容易出错

但这么一想，paypal居 ...</blockquote>
不光是月票，还有购买游戏内抽卡的。也就是不同货币比较明显一点，氪佬短时间大量抽卡还是很正常的。


*****

####  7uly  
##### 156#       发表于 2026-1-23 13:15

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072889&amp;ptid=2273023" target="_blank">hgfdsa 发表于 2026-1-23 10:08</a>
信用卡是底层机制问题，这是在线支付，一个支付请求一个token有那么难</blockquote>
看底下有一楼的分析，会有一个签约的过程。签约完成之后，鹰角会得到一个专属于这个用户的token，使用这个token可以不再需要用户确认就直接给这个用户扣款。

鹰角需要自己保存用户和这种签约之后的长期token的对应关系。但显然鹰角的程序有了bug，导致用户1的购买使用了用户2的签约token去付款，导致扣到用户2上了。


*****

####  7uly  
##### 157#       发表于 2026-1-23 13:21

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073198&amp;ptid=2273023" target="_blank">a4ac7 发表于 2026-1-23 10:42</a>
不一样，paypal这个是张三自动续费请求扣在李四身上

—— 来自 HUAWEI PLA-AL10, Android 12, 鹅球 v3.5 ...</blockquote>
是鹰角把张三的消费，使用了李四的token去paypal那里扣费，paypal当然扣了李四的。这问题明显在鹰角。


*****

####  土星环  
##### 158#       发表于 2026-1-23 13:26

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073961&amp;ptid=2273023" target="_blank">gammatau 发表于 2026-1-23 12:18</a>

这也是，自动扣款token是商家拿着不需要设备物理验证，使用确实在逻辑上更容易出错

但这么一想，paypal居 ...</blockquote>
在paypal眼里只是一个扣费事件啊，除非游戏方给定一个限制，不然paypal没能力也没义务检查这个事件在游戏里的定义啊


*****

####  gammatau  
##### 159#       发表于 2026-1-23 13:32

 本帖最后由 gammatau 于 2026-1-23 13:36 编辑 
<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69074366&amp;ptid=2273023" target="_blank">土星环 发表于 2026-1-23 13:26</a>

在paypal眼里只是一个扣费事件啊，除非游戏方给定一个限制，不然paypal没能力也没义务检查这个事件在游戏 ...</blockquote>
举例子说，支付宝里，我可以开两个B站舰长，两个支付可以独立取消其中一个

也就是说，支付平台对于我这个用户，不仅可以为不同商户应用开独立的token，还可以为一个商户应用里两个不同的订阅支付事件开独立token并独立管理。

所以支付平台是可以知道一个token是订阅支付还是一次性支付，如果是订阅支付它的使用频率是否符合订阅周期的。

不过话说回来，如果是鹰角根本没有走订阅支付的申请路径……


*****

####  ReginaldMorgan  
##### 160#       发表于 2026-1-23 13:52

自动扣费这个的验证逻辑，我没做过支付，单纯从实现方案后端开发角度猜测

如果是是app每月renew更新，我做协议上会考虑写明白额度、频率，透出给商家和用户，客户一次同意后不需要后续同意，但是商家只能按照约定好的价格和时间周期扣费

如果是淘宝京东这类需要用户点一下（但不需要同意）的小额免密支付，我可能会要求商户服务引入我的sdk，基于端上的macid+token+时间戳 加密后形成一个临时凭证，我在我这里验证这个凭证是否合规能否和请求的账户匹配。客户换手机了免密支付就要重新同意一遍，因为绑定操作设备

如果是水电煤这类不定额自动扣费，这类接口的风险也太高了，那只能最多是约定支付频率（比如月度一笔），并且只开放给特定符合资质的商户，比如国家信用背书的国家电网，安全审计拉到满。毕竟商户可以自由扣费这个行为太恐怖了，法务风险巨大

游戏这类商户，原则上是不可能给自动扣款的，鬼知道怎么用，我敢这么写当天法务就要来找麻烦了。国内游戏的微信支付宝支持都是一次性交易凭证吧

只能说pp心大，鹰角天才


*****

####  暗铁  
##### 161#       发表于 2026-1-23 13:54

<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">鹰的代码肯定占99%的锅，1%是美国那套信用卡制度的大环境问题，可以看下曹大佐那期租车的视频


*****

####  GJRstone  
##### 162#       发表于 2026-1-23 14:04

99%是鹰角的锅

剥离技术抽象，本质是鹰角收了一堆信用卡，自己有私账，抓了一把信用卡去前台结账，嘴上说着结A的账，拿出来B的卡刷了。前台看你反复拿着一张卡刷，有极其微量的义务去提醒鹰角“怎么老刷这一张卡，是不是拿错了”。

要么私账有问题，要么拿卡这个过程有问题，独立的刷卡过程除了反洗钱之类的政策要求外完美无瑕。

*****

####  丹德里恩  
##### 163#       发表于 2026-1-23 14:05

 本帖最后由 丹德里恩 于 2026-1-23 14:08 编辑 
<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69074399&amp;ptid=2273023" target="_blank">gammatau 发表于 2026-1-23 13:32</a>

举例子说，支付宝里，我可以开两个B站舰长，两个支付可以独立取消其中一个

也就是说，支付平台对于我这个 ...</blockquote>
支付平台是可以区分支付场景，你在逼站开2个舰长虽然都是同一类操作，但本质上是2个独立事件；不同支付场景是分开管理的，比如自动扣水电费和单笔购物的消费——一种可以选择取消自动扣费，另一种只能查看明细。但他不能知道同一场景下用户是否是本人，就比如你去会员购里抽卡，第一次抽到第100次抽他都认为是同一个人在操作，因为你通过逼站签约过、他能查到签约信息。

至于为什么没扣你钱扣的是别人钱，因为这个“别人”也是签约过的，他的信息也是正确的，唯一的问题就是只是逼站一开始就送错了。鹰角同理，这压根就不是什么自动扣费，而是免密的协议支付。除非事先设置风险等级，短时间内多次扣款后直接触发风控机制暂停交易，否则正常走交易流程，程序是判断不出来的，只能人工介入。但正经通过审核的氪金手游作为宰冤大头大户，本来就不会被设置多高的风险级别，大家都要一起赚钱的，弄那么麻烦别人就不通过你这个渠道氪金了


*****

####  7uly  
##### 164#       发表于 2026-1-23 14:12

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073383&amp;ptid=2273023" target="_blank">五块 发表于 2026-1-23 11:06</a>
想象不来，毕竟国内这两平台目前还没见过不用我授权就给商户永久免验证的。

paypal主要是用得少不敢下结 ...</blockquote>
其实国内也有，就是支付宝之类的免密支付，但大家一般接受度不高，而且也只敢给小额免密。而且很多时候还有支付企业的风控，如果短时间突然大量支付会触发风控。

但小额免密和paypal这个是一样的，商家如果搞错了就会可能被瞎扣。

*****

####  gammatau  
##### 165#       发表于 2026-1-23 14:12

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69074611&amp;ptid=2273023" target="_blank">丹德里恩 发表于 2026-1-23 14:05</a>

支付平台是可以区分支付场景，你在逼站开2个舰长虽然都是同一类操作，但本质上是2个独立事件；不同支付场 ...</blockquote>
一个只用于一张月卡订阅的token，无论因为开发商自己数据库错了还是被人偷了，不管什么原因，应该一个月只能用一次，这有什么疑问吗

如果鹰角一开始就没按月卡token走是鹰角问题，如果paypal不限制那paypal也有问题


*****

####  小川彩  
##### 166#       发表于 2026-1-23 14:17

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69074674&amp;ptid=2273023" target="_blank">gammatau 发表于 2026-1-23 14:12</a>
一个只用于一张月卡订阅的token，无论因为开发商自己数据库错了还是被人偷了，不管什么原因，应该一个月 ...</blockquote>
那小额免密呢 还是说因为你不用 所以小额免密的功能不应该存在？

[论坛助手,iPhone](https://stage1st.com/2b//forum.php?mod=viewthread&amp;tid=2029836)

*****

####  Rotly  
##### 167#       发表于 2026-1-23 14:18

看看paypal的协议对比国内的就知道咋回事了。

paypal自动扣款会被商家多扣，找回还慢这事又不是啥新闻

*****

####  两个路人  
##### 168#       发表于 2026-1-23 14:18

<blockquote>Urakawa 发表于 2026-1-23 09:40
pp不知道冲到哪个账号吧</blockquote>
是的，paypal能看到用户和商家的交易，但是不知道用户和商家的具体订单。支付宝和微信应该也是这种逻辑


*****

####  平贺才人  
##### 169#       发表于 2026-1-23 14:20

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69074674&amp;ptid=2273023" target="_blank">gammatau 发表于 2026-1-23 14:12</a>
一个只用于一张月卡订阅的token，无论因为开发商自己数据库错了还是被人偷了，不管什么原因，应该一个月 ...</blockquote>
他昨天刚开服怎么你就默认是月卡了
进游戏看看鹰角那快一页一页的几十个礼包吧

*****

####  何然  
##### 170#       发表于 2026-1-23 14:22

所以到底斩了多少白皮二次元

*****

####  斑驳的阴影  
##### 171#       发表于 2026-1-23 14:23

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073500&amp;ptid=2273023" target="_blank">洛克萨斯 发表于 2026-1-23 11:18</a>
非赌博类的游戏不会采取很大限制的风控策略的，要是所有带付费项目的游戏都按照高风险商户去风控，那还怎么 ...</blockquote>
懂了，抽卡二游就按读博游戏来<img src="https://static.stage1st.com/image/smiley/face2017/066.png" referrerpolicy="no-referrer">

—— 来自 OPPO PHY110, Android 16, [鹅球](https://www.pgyer.com/GcUxKd4w) v3.5.99


*****

####  无音命题  
##### 172#       发表于 2026-1-23 14:26

这东西，商户和paypal签约，单次扣款和签约扣款，是有不同的资质需求的，给的文档也不一样，商户签单次扣款的合同然后paypal给自动扣款放行，这种事儿要是可能paypal坟头草已经一人高了<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">

*****

####  丹德里恩  
##### 173#       发表于 2026-1-23 14:27

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69074674&amp;ptid=2273023" target="_blank">gammatau 发表于 2026-1-23 14:12</a>

一个只用于一张月卡订阅的token，无论因为开发商自己数据库错了还是被人偷了，不管什么原因，应该一个月 ...</blockquote>
因为压根就不是什么【一个只用于一张月卡订阅的token】，你别自定义前提然后拿这个前提来讨论了行不行

随手打开一个游戏，买一个6块首充再买30块月卡，在支付宝那里这2个订单会告诉你：你这一个是订阅月卡可以取消而另一个不是吗？这就是2笔金额不同的免密支付单罢了，月卡是游戏跟你的关系，对于支付宝来说的，他管你月不月卡干嘛，就是30块的一次性消费

*****

####  斑驳的阴影  
##### 174#       发表于 2026-1-23 14:29

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073383&amp;ptid=2273023" target="_blank">五块 发表于 2026-1-23 11:06</a>
想象不来，毕竟国内这两平台目前还没见过不用我授权就给商户永久免验证的。

paypal主要是用得少不敢下结 ...</blockquote>
小额免密啊，还有某些平台的先用后付都是类似的逻辑

—— 来自 OPPO PHY110, Android 16, [鹅球](https://www.pgyer.com/GcUxKd4w) v3.5.99


*****

####  gammatau  
##### 175#       发表于 2026-1-23 14:32

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69074785&amp;ptid=2273023" target="_blank">丹德里恩 发表于 2026-1-23 14:27</a>

因为压根就不是什么【一个只用于一张月卡订阅的token】，你别自定义前提然后拿这个前提来讨论了行不行

随 ...</blockquote>
游戏不用订阅支付token走小额免密是游戏的问题，支付宝就是可以取消单个订阅支付的，你没打开看过？

*****

####  土星环  
##### 176#       发表于 2026-1-23 14:32

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69074399&amp;ptid=2273023" target="_blank">gammatau 发表于 2026-1-23 13:32</a>

举例子说，支付宝里，我可以开两个B站舰长，两个支付可以独立取消其中一个

也就是说，支付平台对于我这个 ...</blockquote>
你这个例子不是更印证了我的说法吗，如果支付平台能管的话，那应该直接给你取消一个呀

更何况无论舰长还是月卡，你多充了时间也是会累积不冲突的

本质上就是软件只会给支付平台回传订单相关的信息（支付时间方式等等）、用户支付之后，支付平台再把是否成功回传给软件，然后软件给你了一个时间段内的权益。和商品信息相关的估计只会回传商品名，你说支付宝/pp会从商品名抓是不是月卡周卡，然后再判断用户有没有多充？我觉得是你想多了。


*****

####  丹德里恩  
##### 177#       发表于 2026-1-23 14:36

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69074815&amp;ptid=2273023" target="_blank">gammatau 发表于 2026-1-23 14:32</a>

游戏不用订阅支付token走小额免密是游戏的问题，支付宝就是可以取消单个订阅支付的，你没打开看过？ ...</blockquote>
你说的月卡订阅，指的是以后每隔多久我可以从用户这里扣多少钱，那个是定死的，如果出问题那确实要怪PayPal

但这次的问题是每笔金额都不一样随机挑选幸运观众，跟订阅毫无关系，都是单笔消费，所以扯这个很没意思


*****

####  ChengChung  
##### 178#       发表于 2026-1-23 14:47

 本帖最后由 ChengChung 于 2026-1-23 14:48 编辑 
<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073084&amp;ptid=2273023" target="_blank">lion_or_judas 发表于 2026-1-23 10:30</a>

看起来就是鹰角用了个线程不安全的全局类临时变量

把账号token之类的放里面然后线程之间串了

有朋友吐槽是 ...</blockquote>
如果鹰角是用的golang写的或者用其它语言的时候滥用了lambda表达式的话，我倒是想起个经典的新手失误，就是引用了for循里面的循环变量到多线程环境中，或者返回的回调函数变量中引用了这个循环变量的地址，导致一段时间内用的都是某个人的凭证


*****

####  Buke  
##### 179#       发表于 2026-1-23 14:53

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073357&amp;ptid=2273023" target="_blank">apefrank 发表于 2026-1-23 11:02</a>
这种关键功能没一个像pcie，usb那样的行业标准的吗？都是各家自己重新搓轮子？ ...</blockquote>
没有，所以你想接入哪家，就去啃那家的文档并接入sdk吧<img src="https://static.stage1st.com/image/smiley/face2017/065.png" referrerpolicy="no-referrer">

或者你嫌麻烦，也可以多交点手续费找个聚合支付接入。但这只能算中间商


*****

####  鹅肉机构  
##### 180#       发表于 2026-1-23 15:06

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072728&amp;ptid=2273023" target="_blank">平贺才人 发表于 2026-1-23 09:48</a>

就算有锅撑死1成，国外就这大环境

**内微信支付宝开个什么服务的自动扣费功能碰上鹰角这样艹台的理论也 ...</blockquote>
你这图里的说法如果是真的，

铁铁的paypal全锅<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">


*****

####  洛克萨斯  
##### 181#       发表于 2026-1-23 15:10

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075063&amp;ptid=2273023" target="_blank">鹅肉机构 发表于 2026-1-23 15:06</a>

你这图里的说法如果是真的，

铁铁的paypal全锅</blockquote>
这图纯扯淡，就是鹰角自己的问题找人写小作文甩锅罢了


*****

####  EverNight  
##### 182#       发表于 2026-1-23 15:17

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072910&amp;ptid=2273023" target="_blank">bin哥厉害 发表于 2026-1-23 10:10</a>
我说它3测外服没有测试付费内容（付费测没测付费）你信吗</blockquote>
现招啊<img src="https://static.stage1st.com/image/smiley/face2017/068.png" referrerpolicy="no-referrer"> 那猴年马月能弄好？

—— 来自 OPPO PHY110, Android 16, [鹅球](https://www.pgyer.com/xfPejhuq) v3.5.99-alpha

*****

####  GJRstone  
##### 183#       发表于 2026-1-23 15:21

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075063&amp;ptid=2273023" target="_blank">鹅肉机构 发表于 2026-1-23 15:06</a>
你这图里的说法如果是真的，

铁铁的paypal全锅</blockquote>
图里写的paypal一成锅，是paypal有可能把一个订单重复扣费扣了两次。

目前发酵的情况说不是的，是鹰角拿A的卡刷B的账，paypal冰清玉洁。

根本就不存在91开，要么paypal一笔订单扣两次费，paypal全锅，要么鹰角菜逼实质“盗刷”了信用卡，鹰角全锅。

这么一看其实<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">鹰角对接paypal支付做烂了盗刷信用卡也不是没可能


*****

####  鹅肉机构  
##### 184#       发表于 2026-1-23 15:22

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075089&amp;ptid=2273023" target="_blank">洛克萨斯 发表于 2026-1-23 15:10</a>

这图纯扯淡，就是鹰角自己的问题找人写小作文甩锅罢了</blockquote>
讲道理，重复扣款算是YJ主锅

混淆订单乱扣，这个还不一定是谁的锅呢

*****

####  壳壳牛  
##### 185#       发表于 2026-1-23 15:22

总之先把paypal的卡全部解绑了<img src="https://static.stage1st.com/image/smiley/face2017/008.png" referrerpolicy="no-referrer">

*****

####  dazzle  
##### 186#       发表于 2026-1-23 15:24

各路赛博诊脉都是胡说八道，根本不用看

以我做了好几个信用卡pci-dss合规项目的经验来说，只能确定99%几率锅在鹰角这，具体原因外面人是不可能知道的


*****

####  洛克萨斯  
##### 187#       发表于 2026-1-23 15:29

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075149&amp;ptid=2273023" target="_blank">鹅肉机构 发表于 2026-1-23 15:22</a>

讲道理，重复扣款算是YJ主锅

混淆订单乱扣，这个还不一定是谁的锅呢</blockquote>
“订单混淆乱扣”到底是商户映射错了还是渠道回调错了，得看日志才能分锅，目前看大概率就是鹰角自己问题，要是ppl回调问题你鹰角早就火力全开小作文起飞了


*****

####  gammatau  
##### 188#       发表于 2026-1-23 15:32

 本帖最后由 gammatau 于 2026-1-23 15:35 编辑 
<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69074848&amp;ptid=2273023" target="_blank">丹德里恩 发表于 2026-1-23 14:36</a>

你说的月卡订阅，指的是以后每隔多久我可以从用户这里扣多少钱，那个是定死的，如果出问题那确实要怪PayP ...</blockquote>
我顺着前面 hxy8241 说的：

”被刷都是签了自动扣款的。是鹰角扣错了账号。

没签自动扣款的不可能被扣钱。“

我默认理解为自动扣款=订阅了。因为对比支付宝，只要在应用里支付时支付宝的白窗口弹出来了，不管是输密码还是指纹还是极速支付，在支付宝里都不会显示自动扣款，而是显示”交易成功“。使用支付宝绑定的公交、智能售货柜，以及B站舰长之类月付时才是自动扣款。

实际我没有去翻欧美主播直播时到底怎么选的，也不知道hxy8241说的对不对

实际上paypal这个平台用信用卡模式的话，无论怎么操作都是他存你的信用卡号，我觉得不能直接对比支付宝的自动扣款。

具体到鹰角哪出了错，可能是鹰角数据库get错了用户token，B用户购买时提交A用户进行认证申请

也可能是鹰角选择了Paypal的subscription模式token，但错误地把B用户的单次购买变成了给A用户提交新的订阅申请（paypal不可能检查每个商户今天推出了什么新订阅模式）

我之前说的，鹰角会不会是用多个用户的购买申请提交A的同一个订阅token而paypal没有检查一个订阅token的使用频率。这个假设确实有点多了。此刻鹰角已经如此离谱了，没必要再替他猜想鹰角到底做出了什么bug

*****

####  mwj  
##### 189#       发表于 2026-1-23 15:33

paypal回调有问题顶多充了没到账啊怎么会没充扣钱。

*****

####  jannine  
##### 190#       发表于 2026-1-23 15:33

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075063&amp;ptid=2273023" target="_blank">鹅肉机构 发表于 2026-1-23 15:06</a>

你这图里的说法如果是真的，

铁铁的paypal全锅</blockquote>
这种就看你怎么想了，假如你给你老妈在京东上买个大件，商家客服因为你常用发货地址和这次不一样，让你老妈提供你的身份证件，因为不能确定账号是不是本人使用的，你这是不是觉得有病。

这场景商家没有核实义务啊，要是账号被盗了，应该客户自己去找京东找支付宝找银行啊，我商家收到钱按地址发货就行了。

但是信用卡为代表的海外支付体系把核实责任丢给了商家，真被盗了，你不核实发货了你商家丢货+退款+承担平台手续费。

这事按老中的想法，paypal要有风控责任，但是这华尔街那群最精最会玩文字游戏的金融人士和讼棍搞出来的，起码在外国法律上绝对找不出岔子。


*****

####  丹德里恩  
##### 191#       发表于 2026-1-23 15:38

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075202&amp;ptid=2273023" target="_blank">gammatau 发表于 2026-1-23 15:32</a>

我顺着前面 hxy8241 说的：

”被刷都是签了自动扣款的。是鹰角扣错了账号。

没签自动扣款的不可能被扣钱 ...</blockquote>
他说的那个自动扣款，不是指的订阅，而是签约了免密的协议支付，一次验证永久生效，不用登录也不用输密码也没有短信验证，所以按他的逻辑其实没问题。整件事都跟订阅没关系，全部替换成消费就不会把自己给绕进去。


*****

####  hxy8241  
##### 192#       发表于 2026-1-23 15:42

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075202&amp;ptid=2273023" target="_blank">gammatau 发表于 2026-1-23 15:32</a>
我顺着前面 hxy8241 说的：

”被刷都是签了自动扣款的。是鹰角扣错了账号。

没签自动扣款的不可能被扣钱。 ...</blockquote>
你没用滴滴吧，滴滴也是自动扣款的，自动扣款本来就没有说一定是订阅。


*****

####  海豹墨鱼卷  
##### 193#       发表于 2026-1-23 15:51

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075138&amp;ptid=2273023" target="_blank">GJRstone 发表于 2026-1-23 15:21</a>
图里写的paypal一成锅，是paypal有可能把一个订单重复扣费扣了两次。

目前发酵的情况说不是的，是鹰角拿 ...</blockquote>
pp风控烂肯定啊，同一时间发起交易行为币种都不停切还不冻结，那真的很奇葩了。
但这也不是乱盗刷理由

*****

####  gammatau  
##### 194#       发表于 2026-1-23 15:52

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075251&amp;ptid=2273023" target="_blank">hxy8241 发表于 2026-1-23 15:42</a>

你没用滴滴吧，滴滴也是自动扣款的，自动扣款本来就没有说一定是订阅。 ...</blockquote>
跟公交app扫码 还有刷脸购物柜一样的，手机没弹出支付宝的白窗口就是自动扣款。弹出来了就是交易。

*****

####  hxy8241  
##### 195#       发表于 2026-1-23 15:54

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075320&amp;ptid=2273023" target="_blank">gammatau 发表于 2026-1-23 15:52</a>
跟公交app扫码 还有刷脸购物柜一样的，手机没弹出支付宝的白窗口就是自动扣款。弹出来了就是交易。 ...</blockquote>
签约了就不会再弹出支付宝了，每次都是自动扣款的。


*****

####  gammatau  
##### 196#       发表于 2026-1-23 16:05

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075335&amp;ptid=2273023" target="_blank">hxy8241 发表于 2026-1-23 15:54</a>

签约了就不会再弹出支付宝了，每次都是自动扣款的。</blockquote>
手游我玩的少，只能说我见过的手游怎么买都得弹一个支付宝或者股沟play的白窗的


*****

####  鲜血秋叶  
##### 197#       发表于 2026-1-23 16:12

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69072741&amp;ptid=2273023" target="_blank">hgfdsa 发表于 2026-1-23 09:50</a>
我没听过那个手游会搞自动扣款签约，鹰角敢这样搞，不怕被监管锤死

现在普遍的分析是token保存在数据库， ...</blockquote>
没有啊，我支付宝里索尼和微软都是免密支付，ps和xbox买游戏都是不需要经过我在支付宝里二次同意的

—— 来自 vivo V2324A, Android 16, [鹅球](https://www.pgyer.com/xfPejhuq) v3.5.99-alpha

*****

####  hxy8241  
##### 198#       发表于 2026-1-23 16:13

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075415&amp;ptid=2273023" target="_blank">gammatau 发表于 2026-1-23 16:05</a>
手游我玩的少，只能说我见过的手游怎么买都得弹一个支付宝或者股沟play的白窗的 ...</blockquote>
国内做自动扣款门槛高吧，就像Steam，走visa就是自动扣款，走微信支付宝就每次都要弹页面。


*****

####  长生久视  
##### 199#       发表于 2026-1-23 16:20

<blockquote>vacuumsword 发表于 2026-1-23 10:26
单次交易，预授权还有自动续费/免密支付这些都是不同产品，不是同一套逻辑。

单次交易是买家发起，买家授权 ...</blockquote>
那如果不是yj，是电诈公司开发的诈骗游戏，岂不是疯狂扣钱了……

*****

####  hxy8241  
##### 200#       发表于 2026-1-23 16:24

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075504&amp;ptid=2273023" target="_blank">长生久视 发表于 2026-1-23 16:20</a>
那如果不是yj，是电诈公司开发的诈骗游戏，岂不是疯狂扣钱了……</blockquote>
实际上不可能的，到PayPal里还要提现的，那么多争议在。能让人把钱提走的话早就有人这么干了。


*****

####  鲜血秋叶  
##### 201#       发表于 2026-1-23 16:27

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073198&amp;ptid=2273023" target="_blank">a4ac7 发表于 2026-1-23 10:42</a>
不一样，paypal这个是张三自动续费请求扣在李四身上

—— 来自 HUAWEI PLA-AL10, Android 12, 鹅球 v3.5 ...</blockquote>
一样的，现在好比是abcd四个人从鹰角商店买了总共100元的东西，鹰角跟pp银行说a在我这里买了100元东西把钱给我并把a的卡递给银行了。

对pp来说，他并不知道a实际在鹰角商店买了多少钱的东西，他只知道鹰角递过来的账单上需要从a的卡里划给鹰角100元，如果划了105元给鹰角或者把b的钱划给鹰角了可以算是pp的锅，否则肯定是鹰角瞎开账单的问题啊

—— 来自 vivo V2324A, Android 16, [鹅球](https://www.pgyer.com/xfPejhuq) v3.5.99-alpha

*****

####  lotsbiss  
##### 202#       发表于 2026-1-23 16:28

<img src="https://img.stage1st.com/forum/202601/23/162458k4dmf5hxxywhicxp.png" referrerpolicy="no-referrer">

<strong>33a1893e5573d99d32469ff08184e76f.png</strong> (100.47 KB, 下载次数: 0)

下载附件

2026-1-23 16:24 上传

哪怕是一次性付款，PayPal的支付令牌也可以是永久的。拿着这个令牌就能付款。

PayPal那边收到的信息： 支付令牌--一个代表订单的ID号， 返回给YJ一个付款成功的标记、订单号。

YJ那边看到的：XX订单号--支付成功。

至于发送的这个支付令牌什么时候变成了别人的，那就只有YJ自己知道了


*****

####  坚果大爷  
##### 203#       发表于 2026-1-23 16:36

这回主责是yj草台但也证明了paypal存在可以被恶意利用的漏洞吧


*****

####  洛克萨斯  
##### 204#       发表于 2026-1-23 16:38

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075596&amp;ptid=2273023" target="_blank">坚果大爷 发表于 2026-1-23 16:36</a>

这回主责是yj草台但也证明了paypal存在可以被恶意利用的漏洞吧</blockquote>
<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">那渠道确实没想到商户能这么菜

*****

####  洛拉斯  
##### 205#       发表于 2026-1-23 16:41

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075617&amp;ptid=2273023" target="_blank">洛克萨斯 发表于 2026-1-23 16:38</a>
那渠道确实没想到商户能这么菜</blockquote>
如果菜能搞出这么大问题，那坏不就可以发财了？


*****

####  jannine  
##### 206#       发表于 2026-1-23 16:43

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075504&amp;ptid=2273023" target="_blank">长生久视 发表于 2026-1-23 16:20</a>

那如果不是yj，是电诈公司开发的诈骗游戏，岂不是疯狂扣钱了……</blockquote>
很古早的时候，确实有搭建虚假网站虚假销售不发货就跑路，现在比较少了，PP的对商家资质审核比较严格，还有保证金之类的。

但是现在paypal还是有境内外灰色相关的擦边交易，比如搭个网站，用pp收美金，买个虚假的快递号发货，实际上给对方微信转人民币之类的。

或者A站是违规产品，B站是正品店铺，用户在A站下单的时候，商家想办法把订单内容替换成B站内容传给Paypal，进行一些违J品的交易。

还有钓鱼网站骗信用卡信息和CVV，毕竟国外有些网站拿到卡号和CVV授权，不需要什么邮箱电话就可以盗刷。

Paypal和海外那套安全性有问题我个人经验是完全赞同的，鹰角这事能不能赖Paypal那还是不好说。


*****

####  无音命题  
##### 207#       发表于 2026-1-23 16:52

Paypal草台可以，但是楼里大部分人探讨的是两个情况，一个是签约支付，一个是单次支付，后者是每次都要认证.
这两个对应的商户资质，审查，合同都不一样，
不存在鹰角没搞签约支付但是还能后续搞MIT，出这问题paypal就活不到今天了<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">paypal是菜又不是傻
这明显是鹰角过了审核走的签约支付，然后自己的gateway跟paypal对接的时候，token弄混了


*****

####  ReginaldMorgan  
##### 208#       发表于 2026-1-23 16:58

刚才又想了一下，自动扣款本质是个君子协议

银行且不谈，微信支付宝和几个大app的安全审计规则还挺严格的

- 一类：商户可以自己 <strong>无事前单次同意</strong> 扣 <strong>任意金额</strong> 。

这类基本只有水电煤这类国字头背书的公司，能被加进这个池子的资格审查大概非常严格，基本只开给部分特定的组织

- 二类：商户可以 <strong>有事前单次同意</strong> 扣 <strong>任意金额</strong>，

这类就是各种电商的小额支付，以及ps商店这类。这类的安全审计比上述简单一点，但是依然需要用户在付款前进行一次同意行为，只是不需要输入密码验证了。

因为牵扯到盗号问题，实际上会进行设备绑定，并且其实准入规则也很严，各家电商自己支付渠道的小额免密基本只开给自己的平台，微信支付宝最多也就ps/苹果商店这种平台，steam都没这个待遇

- 三类：商户可以 <strong>无事前单次同意</strong> 扣 <strong>指定金额</strong>。这种就是各种自动续费，准入也简单地多了，微信支付宝对每笔交易都有一个单独的协议，商家只能在指定周期扣指定的钱，一份不能多扣

- 四类：商户可以 <strong>有事前单次同意</strong> 扣 <strong>指定金额</strong>。这种就是正常一次性付款，没准入限制。

从业务上看，国内移动支付渠道基本只对外开放3/4（长期订阅用3，其他一律4），1/2是严格限制的。PayPal对外开放了 2，鹰角又错误使用了2

说到底1/2已经算君子协议了，谁让鹰小姐这次不当君子了<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">


*****

####  zerona  
##### 209#       发表于 2026-1-23 17:11

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075744&amp;ptid=2273023" target="_blank">ReginaldMorgan 发表于 2026-1-23 16:58</a>

刚才又想了一下，自动扣款本质是个君子协议

银行且不谈，微信支付宝和几个大app的安全审计规则还挺严格的</blockquote>
假设啊：也就是说如果仅限于月卡的话理论上用3。但pp只有2的设置没有3，4？ 而yj不知道这个情况把3当2用了？


*****

####  红茶拌可乐  
##### 210#       发表于 2026-1-23 17:13

无论如何都想不通这BUG怎么出现的，支付凭证应该是要跟用户唯一标识符强绑定然后每次支付时验证的吧，这怎么能串的？

—— 来自 [鹅球](https://www.pgyer.com/xfPejhuq) v3.5.99-alpha


*****

####  ReginaldMorgan  
##### 211#       发表于 2026-1-23 17:16

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075849&amp;ptid=2273023" target="_blank">zerona 发表于 2026-1-23 17:11</a>
假设啊：也就是说如果仅限于月卡的话理论上用3。但pp只有2的设置没有3，4？ 而yj不知道这个情况把3当2用 ...</blockquote>
那我只能认为外国人已经被银行卡随意扣费搞脱敏了<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">

商家扣费可以“不经过用户输入密码并二次检查付款金额”（我上面写的“任意金额”更严格的描述）是一个很可怕的权限<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">这个权限给出去就纯粹相信商家道德了


*****

####  zerona  
##### 212#       发表于 2026-1-23 17:22

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075906&amp;ptid=2273023" target="_blank">ReginaldMorgan 发表于 2026-1-23 17:16</a>

那我只能认为外国人已经被银行卡随意扣费搞脱敏了

商家扣费可以“不经过用户输入密码并二次检查付款金额 ...</blockquote>
加拿大和美国扣款就是看商店有没有道德吧。比如医保账单的事，不就是最后需要启动ai 去查然后能省不少，最后ai公司还叫停给账单对账吗？

*****

####  ReginaldMorgan  
##### 213#       发表于 2026-1-23 17:25

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075953&amp;ptid=2273023" target="_blank">zerona 发表于 2026-1-23 17:22</a>
加拿大和美国扣款就是看商店有没有道德吧。比如医保账单的事，不就是最后需要启动ai 去查然后能省不少，最 ...</blockquote>
医疗复合体属于直球流氓了，都是我的人你还能这么告我？<img src="https://static.stage1st.com/image/smiley/face2017/067.png" referrerpolicy="no-referrer">

*****

####  jannine  
##### 214#       发表于 2026-1-23 17:28

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075906&amp;ptid=2273023" target="_blank">ReginaldMorgan 发表于 2026-1-23 17:16</a>

那我只能认为外国人已经被银行卡随意扣费搞脱敏了

商家扣费可以“不经过用户输入密码并二次检查付款金额 ...</blockquote>
就是这样哟，我的VISA之前帮公司付海外账单，实报实销。

海外那些平台不需要我的密码，不需要短信和邮箱验证，只要输入持卡人姓名，卡号，过期时间，cvv就可以扣款，甚至有一段时间cvv填错了照样扣。

每个月定期会发账单过来，一些付费项目完全看不懂，明明按公开价格没那么多，但是列得有理有据的，而且有时候也会莫名其妙地扣了又退款，我完全搞不懂到底是真扣了钱还是预授权。

更可怕的是有些网站是无法解绑信用卡，只有用另外一张卡来替换，为此和财务部大吵一架让公司开虚拟信用卡才解绑。

所以老a的信用卡造成老美财务混乱的理论完全能理解。

*****

####  zerona  
##### 215#       发表于 2026-1-23 17:28

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075979&amp;ptid=2273023" target="_blank">ReginaldMorgan 发表于 2026-1-23 17:25</a>

医疗复合体属于直球流氓了，都是我的人你还能这么告我？</blockquote>
不歪讨论了。主要不懂编程看这些内容有点意思。


*****

####  a4ac7  
##### 216#       发表于 2026-1-23 17:31

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69076000&amp;ptid=2273023" target="_blank">zerona 发表于 2026-1-23 17:28</a>
不歪讨论了。主要不懂编程看这些内容有点意思。</blockquote>
国内支付体系网页环境可能有待商榷，但是设备支付都要集成支付平台sdk，很多关键信息sdk本地打包好直接和支付平台通信，不是商家后端随便搞个bug就能随意扣的

—— 来自 HUAWEI PLA-AL10, Android 12, [鹅球](https://www.pgyer.com/GcUxKd4w) v3.5.99


*****

####  莉洁莉特  
##### 217#       发表于 2026-1-23 18:09

那么是不是该注销PayPal了，不用的话。


*****

####  紧那罗  
##### 218#       发表于 2026-1-23 18:25

不要用现代电子支付的思维来考虑这些老掉牙的支付结算体系的设计缺陷。
别说paypal了，信用卡电子支付，本质上就是你把信用卡交给商户，扣多少钱完全由商户自己按

[论坛助手,iPhone](https://stage1st.com/2b/forum.php?mod=viewthread&amp;tid=2029836)


*****

####  火炎龍  
##### 219#       发表于 2026-1-24 04:13

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69073361&amp;ptid=2273023" target="_blank">hxy8241 发表于 2026-1-23 11:03</a>
PayPal可没有盗刷，盗刷只是信用卡。微信支付宝只是没遇到鹰角而已，这套代码在国内用的话我想不出微信和 ...</blockquote>
app sdk调用会调用一个支付宝 微信的有独立ui的模块，要求输入支付账号及其密码或者指纹验证，如果本机已经登录有支付宝微信那么不用输入账号，但是还要有密码/指纹验证
这样的本质还是国内银行卡的卡号密码匹配校验，不会出这次的问题
免密支付那边是如何处理的就不知道了，国内应该也不是长授权令牌吧，要不然信息泄露也要完犊子

—— 来自 [鹅球](https://www.pgyer.com/xfPejhuq) v3.5.99-alpha


*****

####  朋友  
##### 220#       发表于 2026-1-24 04:35

<blockquote>ReginaldMorgan 发表于 2026-1-23 17:16
那我只能认为外国人已经被银行卡随意扣费搞脱敏了

商家扣费可以“不经过用户输入密码并二次检查付款金额 ...</blockquote>
因为如果商户乱扣款的话渠道可以狠狠赚罚款，巴不得你乱扣呢，信用卡同理


*****

####  oyss  
##### 221#       发表于 2026-1-24 04:40

 本帖最后由 oyss 于 2026-1-24 04:43 编辑 

paypal有付一次认证一次的方式,和绑定的方式.

国内的类似支付宝绑定快捷支付也是一样的.不需要你确认就可以扣款了,为的就是方便.

比如你叫车软件让你绑定.不绑你每次输密码或者指纹什么的付款.绑了就完全不用管, app自动帮你扣.

商家能开通这种绑定功能也是需要资质的,不是随便什么猫猫狗狗都给你开.就是万一出事找得到你来承担责任.


*****

####  oyss  
##### 222#       发表于 2026-1-24 04:47

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69079036&amp;ptid=2273023" target="_blank">火炎龍 发表于 2026-1-24 04:13</a>

app sdk调用会调用一个支付宝 微信的有独立ui的模块，要求输入支付账号及其密码或者指纹验证，如果本机已 ...</blockquote>
自动续费你放那几年不管也都会自动扣钱的. 那边真给你乱扣那也是扣了.


*****

####  Sacross  
##### 223#       发表于 2026-1-24 04:53

<img src="https://static.stage1st.com/image/smiley/face2017/018.png" referrerpolicy="no-referrer">按着楼里的分析那应该不止PP出问题，但是就PP整出那么大活

之前整了那么多轮吊人胃口的内测但是PP不测就直接上

各种意义上感觉都不只是草台的问题了


*****

####  pointer243  
##### 224#       发表于 2026-1-24 07:47

pp上面大多数都是绑的银行卡,信用卡或者借记卡/储蓄卡。如果你要通过pp搞自动扣费,逻辑上应该是商家往pp发送账单(因为你是选了用pp自动扣费的选项),pp收到账单后会调用你在上面绑定的银行卡信息再将账单发去银行卡所属的银行账号进行登记。pp顶多就是做了一个自动填写消费方式的作用。还有一点,在选pp自动扣费的时候你是要指定用什么方式(哪个银行卡,哪个银行账号)来扣的。除非你的账号被盗用,不然我是看不懂pp会怎么把别人的账单算到自己头上。我更倾向就是鹰角自己nt没有做好消费token管理,把玩家a b c的token都当成d的然后发送给pp,导致了d要承担abc的消费咯

—— 来自 LGE LM-Q730, Android 10, [鹅球](https://www.pgyer.com/GcUxKd4w) v3.5.99


*****

####  mwj  
##### 225#       发表于 2026-1-24 10:42

<blockquote>zerona 发表于 2026-1-23 17:11
假设啊：也就是说如果仅限于月卡的话理论上用3。但pp只有2的设置没有3，4？ 而yj不知道这个情况把3当2用 ...</blockquote>
pp肯定是也有3，但游戏氪金又不是订阅怎么会开3，手游的月卡虽然叫月卡但一般不会是自动续费的。


*****

####  hxy8241  
##### 226#       发表于 2026-1-24 12:06

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69079036&amp;ptid=2273023" target="_blank">火炎龍 发表于 2026-1-24 04:13</a>
app sdk调用会调用一个支付宝 微信的有独立ui的模块，要求输入支付账号及其密码或者指纹验证，如果本机已 ...</blockquote>
国内也是一样的，只是国内用的都是水电费滴滴这些特大公司。
如果滴滴扣错的话，支付宝也不可能发现的，比PayPal还难，都没有不同币种。


*****

####  yikaa  
##### 227#       发表于 2026-1-24 12:12

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075596&amp;ptid=2273023" target="_blank">坚果大爷 发表于 2026-1-23 16:36</a>
这回主责是yj草台但也证明了paypal存在可以被恶意利用的漏洞吧</blockquote>
有个磨刀匠磨得刀很好，有天有个凶手找他磨刀后犯案，磨刀匠是不是有风险可以被利用？

—— 来自 Xiaomi 23049RAD8C, Android 15, [鹅球](https://www.pgyer.com/GcUxKd4w) v3.5.99


*****

####  hxy8241  
##### 228#       发表于 2026-1-24 12:26

<blockquote><a href="httphttps://stage1st.com/2b/forum.php?mod=redirect&amp;goto=findpost&amp;pid=69075596&amp;ptid=2273023" target="_blank">坚果大爷 发表于 2026-1-23 16:36</a>
这回主责是yj草台但也证明了paypal存在可以被恶意利用的漏洞吧</blockquote>
基本不可能被恶意利用，哪怕这次鹰角不是草台而是故意想捞一笔就跑。钱也取不出来的，PayPal提现还有一道关卡的。同时这么多笔争议付款在，提不了现的。自动扣款只是由这个账号移到另一个账号，不是提成现金了。

