PaymentRequest API 无法获取银行卡号或CVV，因浏览器强制安全限制仅返回脱敏信息如last4、cardNetwork、有效期等；敏感字段被自动过滤，前端只能通过response.details访问允许透出的数据。
PaymentRequest API 本身不提供“取支付数据”的能力，它只负责唤起支付界面并返回用户确认后的 PaymentResponse——而这个响应里不含卡号、CVV、完整银行卡号等敏感字段，这是浏览器强制的安全限制。
为什么 PaymentRequest 无法拿到银行卡号或 CVV
浏览器明确禁止将原始支付凭证（如 cardNumber、cardSecurityCode）暴露给网页。所有主流实现（Chrome、Edge、Safari 的 Apple Pay 模式）都只返回脱敏信息：last4、cardNetwork、expiryMonth/expiryYear，以及一个一次性加密的 paymentMethodToken 或 details 字段（需后端解密）。
-
前端 JS 尝试读取
response.details.cardNumber→ 返回undefined或抛出错误 - 即使使用
response.toJSON()，敏感字段也被自动过滤 - 所谓“取数”，实际是取
response.methodName和response.details中浏览器允许透出的部分
如何正确获取可用的支付信息
调用 show() 后得到的 PaymentResponse 是唯一合法入口。关键字段必须通过 response.details 访问，且内容取决于 methodData 中声明的支付方式：
-
response.methodName：标识支付方式，如"basic-card"、"https://apple.com/apple-pay" -
response.details.cardNetwork：返回"visa"、"mastercard"等 -
response.details.cardLastFour或response.details.last4（依实现略有差异） -
response.details.billingAddress：仅当requestShipping: true且用户授权时才存在 - 对
"basic-card"，response.details.expiryMonth和response.details.expiryYear可用；但cardNumber永远不可见
const request = new PaymentRequest(methodData, details, options);
request.show().then(response => {
console.log("支付方式:", response.methodName);
console.log("卡类型:", response.details.cardNetwork);
console.log("尾号:", response.details.cardLastFour || response.details.last4);
console.log("有效期:", response.details.expiryMonth, "/", response.details.expiryYear);
response.complete("success");
}).catch(err => console.error("用户取消或出错:", err));
后端如何拿到可扣款的凭证
前端拿不到原始卡信息，但浏览器会把加密后的支付凭证（例如 Google Pay 的 token、Apple Pay 的 paymentMethod.token）放在 response.details 深层结构中。这部分需后端对接对应支付网关解析：
立即学习“前端免费学习笔记（深入）”；
- Google Pay：检查
response.details.tokenizationData.token（JSON 字符串），需用 Google 提供的公钥解密 - Apple Pay：检查
response.details.paymentMethod.token.paymentContact和paymentMethod.token.paymentData，需用 Apple 提供的证书验签+解密 - Basic Card（仅测试环境）：
response.details.cardNumber在 Chrome 的chrome://flags/#unsafely-treat-insecure-origin-as-secure下可能可见，但生产环境禁用，切勿依赖
常见报错与绕不过的限制
试图“绕过”限制会导致静默失败或拒绝执行：
-
Uncaught TypeError: Cannot read property 'cardNumber' of undefined→ 因response.details结构随methodName变化，未做判断就访问 -
NotAllowedError: Permission denied→ 页面未通过 HTTPS、未在用户手势（如 click）中调用show() -
AbortError→ 用户关闭弹窗或超时，此时response为undefined，不能直接解构 - 在 Safari 上请求
"basic-card"→ 直接抛出NotSupportedError，因 Safari 不支持该 method
真正能稳定取到的数据就那么多，别在前端硬抠卡号——这不是 API 设计疏漏，而是浏览器安全模型的刚性边界。
