## SPoC 与 MPoC 安全标准解析

SPoC（Software PIN on COTS）和 MPoC（Mobile Payments on COTS）是 PCI 安全标准委员会（PCI SSC）发布的标准，旨在允许商户在普通的商用智能手机或平板电脑（COTS 设备）上安全地接受支付。之所以强调“即时连接”（或实时监控），是因为 COTS 设备属于“不可信环境”，必须依靠云端后台的实时完整性检查和风险监控来确保支付安全。[Source](cite://https://www.lotussmart.cc/knowledges/123.mhtml) [Source](cite://https://patronusec.com/en/mpoc-spoc-and-cpoc-a-revolution-in-secure-mobile-payments/)

### Key Findings
- **SPoC (Software PIN on COTS)**：允许在智能手机屏幕上输入 PIN 码，但必须配合一个外接的硬件读卡器（SCRP）来读取银行卡数据。[Source](cite://https://www.lotussmart.cc/knowledges/123.mhtml)
- **MPoC (Mobile Payments on COTS)**：是 PCI 最新的模块化标准，整合并取代了部分 SPoC 和 CPoC，支持在单一设备上实现非接读卡、PIN 输入及多种软件架构。[Source](cite://https://patronusec.com/en/mpoc-spoc-and-cpoc-a-revolution-in-secure-mobile-payments/)
- **即时连接的必要性**：由于 COTS 设备（如安卓手机）容易受到恶意软件攻击或被 Root，后台监控系统必须实时验证设备的健康状态。[Source](cite://https://www.nri-secure.co.jp/blog/pci-mpoc)
- **主动监控机制**：PCI 文档要求监控系统能够检测到异常（如调试模式开启、地理位置异常）并立即中断交易功能。[Source](cite://https://www.nri-secure.co.jp/blog/pci-mpoc)
- **合规性核心**：对于设备制造商，通过 PCI 认证的关键不仅是移动端 App 的安全性，还包括后台监控系统的响应速度和防御能力。[Source](cite://https://patronusec.com/en/mpoc-spoc-and-cpoc-a-revolution-in-secure-mobile-payments/)

![cite-image://PCI MPoCとは？対面決済の新たなセキュリティ基準を徹底解説｜ブログ ...](https://developer.qcloudimg.com/http-save/yehe-10171634/26532860004dfc4c9ee5d976e29d3f1f.jpg)

### Details
#### 什么是 SPoC 与 MPoC？
*   **SPoC**：核心在于“软件 PIN”。在传统 POS 机中，PIN 码在加密硬件内输入。SPoC 允许在手机屏幕上通过受保护的软件输入 PIN，但卡片数据必须通过外接的、通过 PCI 认证的读卡器（SCRP）获取，实现“敏感数据隔离”。[Source](cite://https://www.lotussmart.cc/knowledges/123.mhtml)
*   **MPoC**：是目前最灵活的标准。它不再局限于单一的支付方式，而是提供了一个框架，涵盖了读卡、PIN 输入、后台系统等多个模块。它允许完全基于软件的解决方案（如 Tap-to-Pay 加软件 PIN），只要满足相应的安全要求。[Source](cite://https://patronusec.com/en/mpoc-spoc-and-cpoc-a-revolution-in-secure-mobile-payments/)

#### 为什么强调“即时连接”？
在 PCI 的视角下，商用移动设备是“开放且不可控”的。为了弥补硬件安全性的不足，标准引入了**后台监控与验证（Attestation and Monitoring）**机制：
1.  **环境完整性验证**：在每次交易前或交易期间，App 必须向后台发送设备状态快照。如果设备被 Root、安装了挂钩框架（如 Xposed）或处于不安全网络，后台需立即拒绝授权。
2.  **密钥管理**：部分安全密钥可能是动态下发的，或者需要后台参与解密。
3.  **异常行为拦截**：如果监控发现设备在短时间内出现在两个相距遥远的地理位置，或者系统签名发生变化，后台必须有能力“即时”远程锁定该设备的支付功能。

#### SPoC vs MPoC 对比
| 特性 | SPoC | MPoC |
| :--- | :--- | :--- |
| **读卡方式** | 必须外接硬件读卡器 (SCRP) | 支持外接读卡器或手机内置 NFC |
| **PIN 输入** | 软件 PIN 录入 | 软件 PIN 或其他验证方式 |
| **认证对象** | 主要是解决方案供应商 | 模块化认证（App、后台、SDK 均可独立认证） |
| **灵活性** | 较低，依赖硬件 | 极高，适应多种业务场景 |

[Source](cite://https://patronusec.com/en/mpoc-spoc-and-cpoc-a-revolution-in-secure-mobile-payments/) [Source](cite://https://www.nri-secure.co.jp/blog/pci-mpoc)

### Practical Takeaway
- **确保后台高可用性**：设备若要通过 PCI 认证，必须证明其后台监控系统能够实现低延迟的设备完整性校验。[Source](cite://https://www.nri-secure.co.jp/blog/pci-mpoc)
- **实施证明（Attestation）机制**：开发中需集成能够检测系统篡改、模拟器运行、调试器附加等行为的 SDK，并将结果实时上报。[Source](cite://https://patronusec.com/en/mpoc-spoc-and-cpoc-a-revolution-in-secure-mobile-payments/)
- **关注 MPoC 的模块化优势**：如果您的设备是新型形态，优先考虑 MPoC 标准，因为它允许针对特定模块（如仅针对支付 App）进行认证，降低整体过检难度。[Source](cite://https://www.nri-secure.co.jp/blog/pci-mpoc)
- **严格遵守文档中的“实时性”要求**：在评审中，审计员会重点查看当设备安全性受损时，系统在多少秒内能阻断交易。[Source](cite://https://www.nri-secure.co.jp/blog/pci-mpoc)

SPoC（Software PIN on COTS）和 MPoC（Mobile Payments on COTS）是 PCI 安全标准委员会（PCI SSC）发布的标准，旨在允许商户在普通的商用智能手机或平板电脑（COTS 设备）上安全地接受支付。之所以强调“即时连接”（或实时监控），是因为 COTS 设备属于“不可信环境”，必须依靠云端后台的实时完整性检查和风险监控来确保支付安全。Source Source

SPoC 与 MPoC 安全标准解析

SPoC（Software PIN on COTS）和 MPoC（Mobile Payments on COTS）是 PCI 安全标准委员会（PCI SSC）发布的标准，旨在允许商户在普通的商用智能手机或平板电脑（COTS 设备）上安全地接受支付。之所以强调“即时连接”（或实时监控），是因为 COTS 设备属于“不可信环境”，必须依靠云端后台的实时完整性检查和风险监控来确保支付安全。Source

安全

网络与通信

客户端

SPoC与MPoC是PCI安全标准委员会发布的支付安全规范，支持在商用智能设备上安全收款。SPoC需外接读卡器输入PIN码，MPoC整合多种支付方式更灵活。两者均依赖云端实时监控设备安全状态，确保交易环境可信。通过模块化认证和即时风险拦截机制，满足PCI严格的安全合规要求。

设备安全

软件架构

密钥管理

敏感数据

硬件安全

调试器

2026新春采购季

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

SPoC 与 MPoC 安全标准解析-腾讯云开发者社区-腾讯云

SPoC 与 MPoC 安全标准解析

SPoC 与 MPoC 安全标准解析

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐