卡上要素：PAN、BIN、有效期与 CVV

卡面上其实有四样东西

把支付当成一次身份声明，卡上的信息就分成两组：一组说明「这张卡是什么」，一组说明「用卡的人是不是持卡人本人」。前一组可以公开，后一组不能。

安全资料留存应注意：安全码与其余三项的留存规则完全不同。

安全码在不同网络有不同名字：Visa 称 CVV2，Mastercard 称 CVC2，American Express 称 CID。它们的作用机制一致，位数与位置有差别——Amex 的 4 位 CID 印在卡正面右上方，不在背面。处理 Amex 卡时按背面的三位数去找，是常见的操作错误。

卡号位数也不统一：Visa 与 Mastercard 常见 16 位，Amex 是 15 位，部分卡网络允许 13 到 19 位。卡号本身带校验位（Luhn 校验），它只能验出这串数字格式对不对，验不出这张卡是否真实存在、是否有额度——把「卡号格式合法」当成「卡可用」，是最常见的误解。

BIN 决定了什么

BIN（Bank Identification Number，标准里称发卡行识别码）是卡号开头的几位。它本身不参与扣款，但整笔交易的路由与判断都从这里开始：

• 走哪张卡网络：4 开头多为 Visa，51–55 与 2221–2720 区间多为 Mastercard，34 / 37 开头为 American Express；
• 由哪家机构发行：BIN 段由标准组织分配并登记，可反查发行机构；
• 这张卡属于哪一类：credit / debit / prepaid 的类别由发卡行设定，并随 BIN 段一起被商户与收单方读取；
• 发卡国是哪里：BIN 归属机构所在国家，常被风控当作交易归属的信号之一。

第三与第四条是虚拟卡用户最容易撞上的地方：发卡行在 BIN 段上登记的类别若是「prepaid」，那么不接受预付卡的商户在拿到卡号那一刻就已经知道了，不需要等你扣款失败。这也是为什么有些平台在绑卡阶段就直接拒绝，而不是在扣款时才报错——它在读 BIN，不是在试扣。

有效期与安全码：分工与留存规则

这两项常被一起填，但它们的意义与规则完全不同。

安全码的设计前提就是「不存储」——它存在的意义是证明持卡人此刻持有卡片。

关于留存规则，行业标准的口径很硬：敏感认证数据（含卡背面的三位或四位码）在授权完成之后不得以任何形式存储，无论加密还是脱敏都不行。这条规则与卡号的处理要求是两个级别——卡号可以脱敏留存，安全码不行。具体条款见 PCI SSC 官方文档库。

有效期还有一处容易被读错：它表示的是有效到该月月底，不是「到该月 1 日失效」。有效期 09/28 的卡在 2028 年 9 月 30 日之前仍然可用。订阅类扣款提前几天失败，有时不是额度问题，而是换卡后卡号与有效期都变了，而收款方还在用旧的那组。

还要邮编？AVS 在验什么

很多美国商户在结账时除了卡号还要账单邮编，这一步做的是 AVS（地址验证系统）。它不比对完整地址，只比对地址中的数字部分与邮政编码：

• 把卡号对应的账单地址里的门牌号与邮编取出来，送去做校验；
• 返回的是匹配程度（全匹配、仅邮编匹配、都不匹配等），不是一个通过或不通过；
• 商户自己决定不同匹配程度要不要放行——这就是各家表现不同的原因；
• AVS 主要服务于美国、英国、加拿大等市场，很多欧洲与亚洲商户根本不发这个请求。

因此账单地址该怎么填，只有一个标准答案：照发卡方留存的那一份逐字符抄，含门牌号与邮编。自己编一个看起来合理的地址，AVS 会直接不匹配。本站卡片对应的账单地址来源见 账单地址从哪来。

这些要素在哪些地方会被用错

概念清楚了，常见错误就都能对号入座：

这张表里有一半是「填表类错误」，它们不会有任何提示，只会表现为扣款失败。

要素看全了，绑卡就不靠猜

落到操作上，绑一张卡的顺序就是要素的顺序——按这个走，能省掉八成「不知道为什么失败」的排查：

本站给出的是完整四项：卡号、有效期、安全码，外加与卡配套的那个账单地址。卡号长期有效，因此订阅、广告账户这类 recurring 用法可以成立。反过来也要提醒：换卡时四项必须一起更新，只改卡号会在下一期扣款时露馅。任何商户上，我们都不承诺扣款结果——收与不收，是商户与其收单方在交易发出的那一刻判定的。

卡面四项要素就是绑卡时照抄的输入。要拿到完整四项（卡号、有效期、安全码、账单地址），先看卡型与地区，再开卡。

常见问题

延伸阅读