跳到主要内容

Cloudflare Page Shield 与 Proteside：从边缘监测脚本，还是在屏幕上核对支付？

Laís Peixoto

作者 Laís Peixoto

Growth Marketer, Proteside

发布于

Cloudflare Client-Side Security（2026 年 3 月前称 Page Shield）监测通过 Cloudflare 代理的站点上的脚本、连接和 Cookie，无需安装任何东西。Proteside 是任何结账页面上的一行代码，在每一次会话中核对屏幕上的二维码、钱包地址和银行卡字段是否与商家发出的一致。

并排对比

Cloudflare Client-Side Security (antes Page Shield)

自我描述
Cloudflare 平台内的客户端安全功能。2026 年 3 月 25 日前称 Page Shield，此后称 Client-Side Security；高级套餐称为 Client-Side Security Advanced。
总部
美国旧金山。所查阅的公司页面未注明成立年份。
如何接入站点
没有自己的脚本。Cloudflare 代理向一部分 HTML 响应添加仅报告模式的 CSP 标头，并根据浏览器回传的报告建立清单。要求站点流量通过 Cloudflare 代理。
在支付页面上核对什么
脚本、脚本打开的连接和 Cookie，以及每个资源首次出现的页面。高级套餐中包含恶意脚本检测和代码变化检测。
PCI DSS
文档表示该功能可用于要求 6.4.3 和 11.6.1，且需要 Client-Side Security Advanced。所查阅的来源未提及 PCI SSC 名单。

Proteside

自我描述
面向付款时刻的网络安全防护层：买家看到、复制并确认的内容的完整性。
总部
巴西圣保罗。2026 年起运营。
如何接入站点
支付页面上的一行代码，或在平台或支付服务商模板中的一次集成。无需代理，无需更改 DNS 或 CDN。
在支付页面上核对什么
第三方脚本、银行卡表单、Pix 二维码与收款密钥、Boleto（巴西银行付款单）缴款编号、加密货币钱包地址，以及八个即时支付网络的二维码，全部与商家发出的内容比对。
PCI DSS
PCI DSS 要求 6.4.3 和 11.6.1 的证据，附可导出给 QSA 的报告。

逐项对比

标注基于各厂商的公开文档。悬停或点按标注即可查看图例。

Cloudflare Page ShieldProteside
在付款人屏幕上核对什么
支付页面脚本的清单与授权要求 6.4.3 的基础：知道页面上运行着什么，并逐一授权。有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）1公开文档中有描述
表单中输入的银行卡信息阻止脚本复制卡号、有效期和安全码。有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）2公开文档中有描述
Pix 二维码与复制粘贴码（巴西）巴西最常见的结账骗局：显示的二维码指向另一个账户。公开信息中未提及公开文档中有描述
Boleto（巴西银行付款单）缴款编号被调包的编号会把同样的金额付给另一个收款方。公开信息中未提及公开文档中有描述
全球即时支付网络的二维码（UPI、PayNow、DuitNow、PromptPay、QR Ph、FPS、CoDi、Transferencias 3.0）与 Pix 相同的调包手法，横跨八个即时支付系统。公开信息中未提及公开文档中有描述
稳定币与加密货币钱包地址，包括复制时在屏幕上或剪贴板中被调包的钱包地址，损失不可逆。公开信息中未提及公开文档中有描述
将屏幕上显示的内容与商家发出的内容比对，并在确认前拦截调包定义支付完整性的那一项核对：收款方和金额与发出的一致。公开信息中未提及公开文档中有描述
如何保护
在买家浏览器中拦截未授权脚本事后才发现，被复制的数据已经追不回来。有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）3公开文档中有描述
监测真实买家会话定向骗局不会出现在模拟访问中。有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）4公开文档中有描述
无需更改 CDN、DNS 或代理即可运行一行代码即可接入任何平台。厂商自述不提供此功能5公开文档中有描述
PCI DSS 合规
PCI DSS 要求 6.4.3 的证据脚本的清单、授权与完整性。有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）6公开文档中有描述
PCI DSS 要求 11.6.1 的证据页面及其标头的未授权更改。有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）7公开文档中有描述
可导出给评估机构（QSA）的报告证据必须走出管理后台，交到评估环节。公开信息中未提及公开文档中有描述
  • 公开文档中有描述
  • 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）
  • 公开信息中未提及
  • 厂商自述不提供此功能

标注说明

  1. 1支付页面脚本的清单与授权: 文档描述清单是根据添加到一部分 HTML 响应的仅报告模式 CSP 标头建立的，并提醒新部署的脚本可能需要一段时间才会出现在仪表板中。
  2. 2表单中输入的银行卡信息: 公开资料涉及通过浏览器报告观察到的脚本、连接和 Cookie。没有描述在买家浏览器中对银行卡表单本身的核对。
  3. 3在买家浏览器中拦截未授权脚本: 监测标头是仅报告模式，用文档自己的话说，不拦截任何东西。拦截来自允许模式下的内容安全规则，在高级套餐中提供，上限为五条规则。
  4. 4监测真实买家会话: 报告来自真实浏览器，但只来自收到标头的那部分响应；文档没有描述对每一次会话的覆盖。
  5. 5无需更改 CDN、DNS 或代理即可运行: 官方博客表示唯一的前提是流量通过 Cloudflare 代理。使用其他 CDN 或没有代理的站点不在范围内。
  6. 6PCI DSS 要求 6.4.3 的证据: PCI DSS 参考页面表示该功能可用于要求 6.4.3，且需要 Client-Side Security Advanced。
  7. 7PCI DSS 要求 11.6.1 的证据: 同一页面在相同条件下列出了要求 11.6.1：仅限高级套餐。所查阅的页面没有描述如何把证据交给评估机构。

Cloudflare Page Shield 的突出之处

  • 已在 Cloudflare 上的站点无需部署

    据官方博客所述，在 Cloudflare 仪表板中开启监测后，即可在不触碰站点代码的情况下开始收集浏览器报告。

  • 脚本、连接和 Cookie 在同一份清单中

    在脚本之外，文档描述了记录这些脚本打开的连接和经过代理的 Cookie，以及每个资源首次出现的页面。

  • 威胁情报加语言模型检测

    自 2026 年 3 月 3 日起，可疑脚本由运行在 Workers AI 上的语言模型分析以减少误报；Cloudflare 表示客户数据不用于训练这些模型。

  • 在边缘执行，无需代码

    在高级套餐中，内容安全规则会变成强制执行的 CSP 标头，拦截允许列表之外的一切，并应用于规则匹配的每一个响应。

Proteside 核对而 Cloudflare 文档未提及的内容

班加罗尔的一个家教平台通过 UPI 收款。家长点击付款，出现一个二维码，用银行应用扫码，几秒钟内钱就划走了。如果一个浏览器扩展或一个被攻陷的主题插件把那个二维码换成了指向另一个账户、金额相同的二维码，付款照样完成，订单始终没有结清，而页面上没有出现任何新脚本。在脚本清单看来，页面没有任何变化。

Client-Side Security 监测经过代理的脚本、连接和 Cookie，文档对此描述得很清楚。UPI、PromptPay 或 PayNow 二维码、USDT 钱包地址和巴西 Boleto（巴西银行付款单）未见于公开资料。Proteside 记录商家服务器为每笔收款发出的内容，并在每一次会话（而不是抽样）中与买家看到、复制和确认的内容比对。一旦不一致，确认即被拦截，这次尝试会被记录为告警和证据。

同一个脚本还盘点第三方脚本、监测银行卡表单，并保留要求 6.4.3 和 11.6.1 所要求的变更历史。Cloudflare 后面的站点可以原封不动地保留边缘，并在结账页面上加上支付核对。

各自如何接入业务

Cloudflare Page Shield

  • 在 Cloudflare 仪表板中启用，面向流量已经通过 Cloudflare 代理的域名。
  • 一部分响应上的仅报告模式 CSP 标头；监测开启期间该标头无法关闭。
  • 高级套餐中的内容安全规则用于强制执行允许列表；告警和日志导出通过平台本身完成。

Proteside

  • 支付页面上的一行代码，适用于任何平台和任何 CDN，包括 Cloudflare。
  • 在每一次会话中核对，不抽样，无需等待新脚本浮现。
  • 在确认前自动拦截；管理后台、API，以及通过邮件、Slack、Teams 和 webhook 发送的告警。

何时选择哪一个

适合选择 Cloudflare Page Shield 的情况

  • 站点已经通过 Cloudflare 运行，银行卡是收款方式，且您的评估机构接受通过抽样建立的清单。
  • 您希望在不添加代码的情况下，获得整个域名（而不只是结账页面）的脚本、连接和 Cookie 可见性。
  • 您的团队已在 Cloudflare 中管理安全规则，倾向于从边缘强制执行允许列表。

适合选择 Proteside 的情况

  • 结账接受 UPI、PromptPay、PayNow、DuitNow、FPS、稳定币或巴西的 Pix 和 Boleto。
  • 您需要在调包发生的那次会话中、对每一位买家拦截收款方调包。
  • 站点没有通过 Cloudflare 代理，或者您希望分布在多个 CDN 上的商店获得同样的保护。

两者并用

相当一部分 Proteside 客户已经在边缘使用 Cloudflare 进行 DNS、缓存和攻击缓解。在这种配置下，Client-Side Security 继续从代理层建立全域名的清单，Proteside 则在结账页面上逐会话核对支付。两者不争夺同一项工作，也互不干扰。

常见问题

Cloudflare Page Shield 覆盖 Pix、Boleto 或二维码吗？

在 2026 年 10 月查阅的公开信息中未提及。Client-Side Security 文档描述的是脚本、连接、Cookie 和代码变化；屏幕上显示的支付数据（例如 UPI 或 PromptPay 二维码）未被提及。

我可以同时使用 Cloudflare Page Shield 和 Proteside 吗？

可以，这也是 Cloudflare 上的 Proteside 客户最常见的配置。Proteside 是支付页面上的一个脚本，会像其他已授权资源一样出现在 Cloudflare 的清单中。

Page Shield 和 Client-Side Security 是同一款产品吗？

是的。2026 年 3 月 25 日，Cloudflare 将 Page Shield 更名为 Client-Side Security，附加组件改为 Client-Side Security Advanced。发行说明表示功能和权益未随名称变化。

我需要在 Cloudflare 上才能使用 Client-Side Security 吗？

是的。官方博客表示唯一的前提是您的流量通过 Cloudflare 代理，因为监测标头是在边缘添加到响应中的。

为什么新脚本需要一段时间才会出现在 Cloudflare 仪表板中？

文档解释了原因：仅报告模式的标头只随一部分响应发出，清单依赖浏览器回传的报告。这就在部署脚本和看到它被列出之间留下了一段空档。

其他对比

看看 Proteside 如何核对您的结账页面

14 天免费试用，一行代码，覆盖您页面上的所有支付方式。

开始免费试用