保护支付页面的 c/side 替代方案（2026 年）
作者 Laís Peixoto
Growth Marketer, Proteside
发布于
寻找 c/side 替代方案的团队会发现三个类别：Feroot 和 Jscrambler 等页面内代理；Reflectiz 和 SecurityMetrics 等外部监测；以及 Cloudflare Client-Side Security（前身为 Page Shield）等 CDN 或 WAF 模块。Proteside 走第四条路，在脚本之上核对支付本身。选择从您的结账接受什么开始。
团队为什么会考察其他方案
结账不只接受银行卡
UPI、PromptPay、PayNow、Boleto 和稳定币没有银行卡表单可守护。这里的网页盗刷意味着在屏幕上或剪贴板中调包收款方，需要把显示的数据与发出的内容比对。
拦截必须自动完成
当调包发生在单次会话内，事后复核的告警来得太晚。团队希望在确认前就拦截，而不是等人打开仪表板。
保护与证据出自同一款工具
中小型企业希望要求 6.4.3 和 11.6.1 的证明由阻止欺诈的同一款工具产出，并可直接交给 QSA。
候选清单
| 方案 | 工作原理 | 适合 | 对比 |
|---|---|---|---|
| Proteside | 支付页面上的一个脚本，把每个二维码、收款密钥、Boleto 缴款编号、钱包地址和银行卡字段与您的服务器发出的内容逐一核对，并在确认前拦截调包。 | 通过 UPI、PromptPay、PayNow 或 Pix 等即时支付网络、银行卡、Boleto 或稳定币收款，并希望一次安装同时获得保护和 PCI DSS 证据的商家。 | c/side 与 Proteside 对比 |
| Feroot PaymentGuard e DXSecure | 盘点支付页面上的脚本，记录授权理由和完整性，并对内容和标头的变化发出告警；运行时策略执行被描述为可选项。 | 以银行卡为主、需要在网站和移动应用上统一治理脚本并向评估机构提交报告的企业。 | Feroot 与 Proteside 对比 |
| Jscrambler Webpage Integrity | 通过 JavaScript 代理或模拟用户监测盘点脚本，检测行为漂移，并执行拦截和表单保护策略；有一个模块覆盖要求 6.4.3 和 11.6.1。 | 同时需要保护自有 JavaScript 代码（混淆）的企业，以及以 iframe 形式提供结账页面的支付服务商。 | Jscrambler 与 Proteside 对比 |
| Reflectiz PCI Module | 自动化浏览器按计划从外部访问支付页面，站点上不放代码；在界面中触发拦截时，会注入一条排除某个域名的 CSP 策略。 | 无法或不愿在页面上放置脚本、并接受“检测加人工复核”模式的团队。 | Reflectiz 与 Proteside 对比 |
| SecurityMetrics Shopping Cart Monitor | 按间隔从外部扫描支付页面，模拟结账过程，对新脚本和变化发出告警；该公司自己把产品描述为检测工具，并表示它不是为预防而设计的。 | 已在使用 SecurityMetrics PCI 门户（问卷、ASV 扫描）、希望在同一处获得要求 6.4.3 和 11.6.1 证据的商家。 | SecurityMetrics 与 Proteside 对比 |
| Cloudflare Client-Side Security (antes Page Shield) | Cloudflare 从代理层向一部分页面添加仅报告模式的 CSP 标头，并根据浏览器回传的报告建立清单；拦截通过高级层级中的允许规则实现。 | 已在 Cloudflare 后面、希望无需安装任何东西即可监测脚本的站点。 | Cloudflare Page Shield 与 Proteside 对比 |
先选类别，再选厂商
在把一家厂商换成类似的另一家之前，先看类别。c/side、Feroot 和 Jscrambler 等页面内代理看到每一次真实会话并控制运行的内容；Reflectiz 和 SecurityMetrics 等外部监测无需站点代码即可提供清单，代价是看不到每一位买家；Cloudflare 等 CDN 或 WAF 模块在边缘发挥作用，依赖流量经过它。这三个类别都源于银行卡问题，并以不同方式满足要求 6.4.3。
就其公开文档的描述而言，它们都不核对屏幕上的二维码、收款方 ID、Boleto 缴款编号或钱包地址是否就是商家发出的那一个。c/side 在加密货币页面上点出剪贴板地址调包，是最接近的一家，但没有与生成的地址比对。这项比对是 Proteside 的类别：它包含脚本清单和 PCI DSS 证据，并加上支付核对。
各方案详解
Proteside
Proteside 记录每个支付页面上的合法内容（每笔收款的明细、表单字段、已授权的脚本），并在付款人的浏览器中持续核验显示了什么、复制了什么、数据流向何处。一旦发现不一致，它会在付款确认前阻止该操作，并记录这次尝试。
脚本清单和变更历史构成 PCI DSS 要求 6.4.3 和 11.6.1 的证据。安装只需在任何电商平台上加一行代码，平台和支付服务商则只需一次集成，并配有管理后台、API 和告警。
适合选择 Proteside 的情况: 当您的结账除了银行卡还通过即时支付网络、Boleto 或稳定币收款，当您需要在真实会话中拦截收款方调包，或者当您希望在不更改 CDN 的前提下同时获得保护和 PCI DSS 证据时，选择 Proteside。
Feroot PaymentGuard e DXSecure
Feroot 的产品以合规为中心：PaymentGuard 通过脚本清单、授权理由、完整性检查和提交给 QSA 的证据报告覆盖要求 6.4.3 和 11.6.1。公开文档提到与告警和运维工具的集成，以及在网站之外对 iOS 和 Android 应用的覆盖。
对于银行卡之外的收款方式，需要留意的是范围：公开资料谈的是脚本和银行卡数据，没有提到二维码、收款密钥、Boleto（巴西银行付款单）或加密货币钱包。对这些支付方式而言，收款方调包不在该工具描述的核对范围之内。
适合选择 Feroot 的情况: 您的首要任务是跨网站和移动应用的脚本治理与 PCI DSS 证据，且结账以银行卡收款为主。
Jscrambler Webpage Integrity
Jscrambler 汇集了两款不同的产品：Code Integrity 用于保护和混淆 JavaScript 代码，Webpage Integrity 用于盘点和控制页面上的脚本，并配有 PCI DSS 合规模块。公开文档描述了在真实会话中拦截的代理模式，以及模拟用户的无代理模式。
对于以银行卡为主要收款方式、希望由同一家公司同时负责代码和页面的团队，这是一款成熟的产品。公开资料没有涉及 Pix、Boleto（巴西银行付款单）、即时支付二维码或加密货币钱包。
适合选择 Jscrambler 的情况: 您需要保护支付页面之外的自有 JavaScript 代码，或者您是以 iframe 形式交付结账页面的服务商。
Reflectiz PCI Module
Reflectiz 将自己的方式描述为无代理：沙箱浏览器模拟用户旅程，盘点脚本（包括 iframe 内的），监测要求 11.6.1 所需的标头，并为 QSA 导出证据。该平台还覆盖隐私和攻击性测试。
厂商自己的资料把拦截解释为一个在页面上保持不活动的脚本，直到在界面中触发后才开始通过 CSP 排除某个域名。这是一种设计选择：先检测，再由人工介入。只对某一位特定买家出现的骗局，模拟访问观察不到。
适合选择 Reflectiz 的情况: 您的内部政策禁止在支付页面添加脚本，且您的安全团队会在采取行动前复核告警。
SecurityMetrics Shopping Cart Monitor
SecurityMetrics 是一家 PCI 评估公司（QSA、ASV），Shopping Cart Monitor 嵌入其门户：带理由的脚本清单、内容和标头变化检测、告警，以及可导出给评估机构的日志，站点上无需安装任何东西。
公开资料坦率地说明了局限：厂商表示该工具是为检测而设计的，基于按间隔采集的快照工作。对于需要在客户仍停留在页面上时就拦截骗局的团队，这种方式可作为真实会话拦截的补充。
适合选择 SecurityMetrics 的情况: 您的 PCI DSS 评估已通过 SecurityMetrics 进行，并希望支付页面证据集成在同一门户中。
Cloudflare Client-Side Security (antes Page Shield)
该功能在 2026 年 3 月之前称为 Page Shield，现称 Client-Side Security，面向通过 Cloudflare 代理的域名提供。文档描述了对脚本、连接和 Cookie 的监测、恶意脚本和代码变化的检测，以及可拦截允许列表之外一切内容的内容安全规则。
文档自身解释了这一机制：仅报告模式的标头只随一部分响应发出，因此新脚本可能需要一段时间才会出现。要求 6.4.3 和 11.6.1 在高级层级中覆盖。Pix、Boleto（巴西银行付款单）和即时支付网络未见于资料。
适合选择 Cloudflare Page Shield 的情况: 您的站点已在 Cloudflare 后面，银行卡是主要收款方式，且抽样式的脚本监测能让您的评估机构满意。
如何评估一个替代方案
- 1您的页面显示哪些支付方式？如果有 UPI、PromptPay、PayNow、Boleto 或钱包地址，工具必须把这些数据与您的服务器发出的内容比对。
- 2单次被攻陷的会话内会发生什么？确认前自动拦截，还是发一条告警等人复核？
- 3您能在支付页面上放置脚本标签吗？如果不能，只有外部监测适用，并带有它们自己声明的限制。
- 4谁在哪里接收告警？对小团队来说，Slack、Teams、邮件和 webhook 通常足够；对大型企业而言，SIEM 接入很重要。
- 5报告输出时是否已可直接交给 QSA，包含要求 6.4.3 和 11.6.1 所需的清单、授权和变更历史？
- 6业务依赖特定的 CDN 吗？边缘模块只适用于已在该平台上的站点。
常见问题
c/side 最好的替代方案是什么？
取决于您的结账接受什么。对于以银行卡为主的脚本控制，Feroot 和 Jscrambler 覆盖相似的范围；Reflectiz 和 SecurityMetrics 面向无法在页面上添加代码的团队；Cloudflare Client-Side Security 面向已在 Cloudflare 后面的站点。对于 UPI、PromptPay、Boleto、稳定币和其他非银行卡方式，支付核对只出现在 Proteside 的公开文档中。
c/side 的替代方案需要覆盖什么？
至少要观察真实会话、盘点并授权脚本、检测页面及其标头的变化，并生成提交给审计方的报告。如果结账不止银行卡，还要加上显示的收款方与发出的收款方之间的比对。
c/side 的竞争对手有哪些？
同属页面内代理类别的有 Feroot、Jscrambler、Source Defense 和 HUMAN Security。外部监测中有 Reflectiz 和 SecurityMetrics。CDN 和 WAF 模块中有 Cloudflare、Akamai、Imperva 和 F5。Proteside 在这些页面上与它们逐一对比。
Proteside 能替代 c/side 吗？
取决于您用它做什么。在支付页面上，Proteside 覆盖清单、脚本拦截和要求 6.4.3 与 11.6.1，并加上支付核对。Fingerprint 的设备识别和机器人检测不在 Proteside 的范围内；在这种情况下，两款工具并行运行。