保护支付页面的 Cloudflare Page Shield 替代方案（2026 年）

Proteside 记录每个支付页面上的合法内容（每笔收款的明细、表单字段、已授权的脚本），并在付款人的浏览器中持续核验显示了什么、复制了什么、数据流向何处。一旦发现不一致，它会在付款确认前阻止该操作，并记录这次尝试。

脚本清单和变更历史构成 PCI DSS 要求 6.4.3 和 11.6.1 的证据。安装只需在任何电商平台上加一行代码，平台和支付服务商则只需一次集成，并配有管理后台、API 和告警。

Client-Side Protection & Compliance（前身为 Page Integrity Manager）盘点脚本，应用授权理由和规则，监测要求 11.6.1 所需的标头，并对未授权脚本、支付数据外泄和篡改发出告警。公开文档表示，无论站点托管在何处，检测均可工作，配置在 Akamai 控制台中完成。

脚本注入可设置为页面浏览量的一个百分比，缓解措施被描述为一键应用的限制。要获得完整覆盖，注入必须在每一次页面浏览时运行。资料涉及脚本和银行卡数据；未涉及二维码、收款密钥或 Boleto 缴款编号。

Imperva（Thales）将 Client-Side Protection 描述为其应用保护的一个组件：持续的服务发现、基于 AI 的脚本分析、一键拦截、标头变化监测、支付页面变化的每周摘要，以及可导出给评估机构的报告，并支持 Terraform。

其机制是在服务器端以零信任模型定义的内容安全策略：未获授权的内容不会加载。公开文档描述通过 Imperva Cloud Application Security 交付；范围是脚本和银行卡数据。

Feroot 的产品以合规为中心：PaymentGuard 通过脚本清单、授权理由、完整性检查和提交给 QSA 的证据报告覆盖要求 6.4.3 和 11.6.1。公开文档提到与告警和运维工具的集成，以及在网站之外对 iOS 和 Android 应用的覆盖。

对于银行卡之外的收款方式，需要留意的是范围：公开资料谈的是脚本和银行卡数据，没有提到二维码、收款密钥、Boleto（巴西银行付款单）或加密货币钱包。对这些支付方式而言，收款方调包不在该工具描述的核对范围之内。

c/side 将自己定义为客户端安全平台。公开资料描述了带有每个脚本内容历史的清单、供应商关系图、告警、面向要求 6.4.3 和 11.6.1 的仪表板，以及接收 CSP 报告的端点。

其关于加密货币的公开页面提到复制到剪贴板的钱包地址被调包，这与 Proteside 解决的问题已很接近。Pix、Boleto（巴西银行付款单）以及 UPI 或 PromptPay 等即时支付网络的二维码，未见于我们查阅的公开文档。

Reflectiz 将自己的方式描述为无代理：沙箱浏览器模拟用户旅程，盘点脚本（包括 iframe 内的），监测要求 11.6.1 所需的标头，并为 QSA 导出证据。该平台还覆盖隐私和攻击性测试。

厂商自己的资料把拦截解释为一个在页面上保持不活动的脚本，直到在界面中触发后才开始通过 CSP 排除某个域名。这是一种设计选择：先检测，再由人工介入。只对某一位特定买家出现的骗局，模拟访问观察不到。