F5 Client-Side Defense 与 Proteside：缓解列表，还是付款时刻的自动拦截？
作者 Laís Peixoto
Growth Marketer, Proteside
发布于
F5 Distributed Cloud Client-Side Defense 盘点您应用上的脚本，并对可疑域名和敏感字段读取发出告警，缓解措施由您的团队在 F5 控制台中通过列表定义。Proteside 在买家的浏览器中核对二维码、账户信息、钱包地址和银行卡字段是否与商家发出的一致，并自动拦截调包。
并排对比
- 自我描述
- F5 Distributed Cloud Services 内的一项服务，列出 Web 应用上运行的脚本并对敏感数据读取发出告警，缓解措施由用户定义。
- 总部
- 美国西雅图（F5, Inc.）。
- 如何接入站点
- 由 F5 Distributed Cloud HTTP 负载均衡器插入的脚本，或通过 CMS、CDN、负载均衡器或 BIG-IP 手动放置；管理在 Distributed Cloud 控制台中进行。
- 在支付页面上核对什么
- 第一方、第三方和第四方脚本、表单字段读取、目标域名、新脚本、行为变化和标头变化。
- PCI DSS
- 公开资料提到 PCI DSS 和用于审计追踪的遥测数据。没有列出以 QSA 为名的报告，也没有声明 PCI SSC 隶属关系。
F5 Distributed Cloud Client-Side Defense
- 自我描述
- 面向付款时刻的网络安全防护层：买家看到、复制并确认的内容的完整性。
- 总部
- 巴西圣保罗。2026 年起运营。
- 如何接入站点
- 支付页面上的一行代码，或在平台或支付服务商模板中的一次集成。无需代理，无需更改 DNS 或 CDN。
- 在支付页面上核对什么
- 第三方脚本、银行卡表单、Pix 二维码与收款密钥、Boleto（巴西银行付款单）缴款编号、加密货币钱包地址，以及八个即时支付网络的二维码，全部与商家发出的内容比对。
- PCI DSS
- PCI DSS 要求 6.4.3 和 11.6.1 的证据，附可导出给 QSA 的报告。
Proteside
逐项对比
标注基于各厂商的公开文档。悬停或点按标注即可查看图例。
| F5 Client-Side Defense | Proteside | |
|---|---|---|
| 在付款人屏幕上核对什么 | ||
| 支付页面脚本的清单与授权要求 6.4.3 的基础：知道页面上运行着什么，并逐一授权。 | 公开文档中有描述 | 公开文档中有描述 |
| 表单中输入的银行卡信息阻止脚本复制卡号、有效期和安全码。 | 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）1 | 公开文档中有描述 |
| Pix 二维码与复制粘贴码（巴西）巴西最常见的结账骗局：显示的二维码指向另一个账户。 | 公开信息中未提及 | 公开文档中有描述 |
| Boleto（巴西银行付款单）缴款编号被调包的编号会把同样的金额付给另一个收款方。 | 公开信息中未提及 | 公开文档中有描述 |
| 全球即时支付网络的二维码（UPI、PayNow、DuitNow、PromptPay、QR Ph、FPS、CoDi、Transferencias 3.0）与 Pix 相同的调包手法，横跨八个即时支付系统。 | 公开信息中未提及 | 公开文档中有描述 |
| 稳定币与加密货币钱包地址，包括复制时在屏幕上或剪贴板中被调包的钱包地址，损失不可逆。 | 公开信息中未提及 | 公开文档中有描述 |
| 将屏幕上显示的内容与商家发出的内容比对，并在确认前拦截调包定义支付完整性的那一项核对：收款方和金额与发出的一致。 | 公开信息中未提及 | 公开文档中有描述 |
| 如何保护 | ||
| 在买家浏览器中拦截未授权脚本事后才发现，被复制的数据已经追不回来。 | 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）2 | 公开文档中有描述 |
| 监测真实买家会话定向骗局不会出现在模拟访问中。 | 公开文档中有描述 | 公开文档中有描述 |
| 无需更改 CDN、DNS 或代理即可运行一行代码即可接入任何平台。 | 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）3 | 公开文档中有描述 |
| PCI DSS 合规 | ||
| PCI DSS 要求 6.4.3 的证据脚本的清单、授权与完整性。 | 公开文档中有描述 | 公开文档中有描述 |
| PCI DSS 要求 11.6.1 的证据页面及其标头的未授权更改。 | 公开文档中有描述 | 公开文档中有描述 |
| 可导出给评估机构（QSA）的报告证据必须走出管理后台，交到评估环节。 | 公开信息中未提及 | 公开文档中有描述 |
- 公开文档中有描述
- 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）
- 公开信息中未提及
- 厂商自述不提供此功能
标注说明
- 1表单中输入的银行卡信息: 文档描述了对敏感字段读取的告警和由用户触发的表单字段读取拦截；保护取决于您的团队定义的列表。
- 2在买家浏览器中拦截未授权脚本: 缓解按域名列表工作：Mitigate List 为所有脚本拦截整个域名，而 F5 的文档表示拒绝某个脚本仅具提示作用，不会拦截。
- 3无需更改 CDN、DNS 或代理即可运行: 文档记录了对于 F5 之外的应用，可通过 CMS、CDN 或 BIG-IP 手动插入脚本，但管理需要控制台和 F5 Distributed Cloud 订阅。
F5 Client-Side Defense 的突出之处
清单包含第四方脚本
Script List 覆盖第三方脚本进而加载的内容，每次审批都附有书面理由。
覆盖 F5 托管之外的应用
文档描述了对于不经过 Distributed Cloud 的应用，可通过 CMS、CDN、负载均衡器或 BIG-IP 手动插入脚本。
行为和标头告警
在可疑域名和字段读取之外，该服务还会标记行为发生变化的脚本和标头发生变化的页面。
已在 F5 上的团队只需一个控制台
在 Distributed Cloud 负载均衡器后面运行应用的客户，可以在已经管理该应用的地方开启这项服务，无需更改代码。
Proteside 核对而 F5 的公开资料未提及的内容
曼谷的一家零售商在结账时为一笔 2,400 泰铢的订单显示 PromptPay 二维码。买家打开银行应用，扫码付款。如果一个浏览器扩展或一个被攻陷的插件把那个二维码换成了绑定另一个账户、金额相同的二维码，钱就落到了别处，商店只有在订单始终无法结清时才会发现。没有卡号被读取；变的是收款人。
Client-Side Defense 监测脚本和表单字段读取，F5 的文档对此覆盖得很仔细。对于 PromptPay、UPI、PayNow 或 DuitNow 二维码、巴西 Boleto（巴西银行付款单）缴款编号、Pix 密钥或 USDT 钱包地址，公开资料没有描述对页面显示内容的任何核对。Proteside 记录您的服务器发出的内容（二维码、账户信息、地址、金额），并在每一次会话中与买家看到和复制的内容比对。当两者不同时，确认即被拦截，这次尝试会变成一条告警和一份证据。
在 F5 上，缓解措施依靠您的团队维护的列表运行：Mitigate List 为所有脚本拦截某个域名，Allow List 放行某个域名，而文档本身表示在界面中拒绝某个脚本仅具提示作用。Proteside 在每一次会话中拦截未授权脚本和收款人调包，无需手动步骤，其清单和变更历史生成要求 6.4.3 和 11.6.1 的证据。
各自如何接入您的业务
F5 Client-Side Defense
- 在带有 JavaScript 插入功能的 F5 Distributed Cloud HTTP 负载均衡器上启用，或通过 CMS、CDN、负载均衡器或 BIG-IP 手动插入。
- 文档要求脚本在页面上同步且最先加载，并把该服务限制为每个命名空间 100 个域名。
- 在控制台中通过列表定义缓解措施；根据文档，在控制台中禁用该服务不会移除手动插入的脚本。
Proteside
- 支付页面上的一行代码，适用于任何平台，没有边缘控制台，也不需要 CDN 订阅。
- 在每一次购买会话中核对：脚本、银行卡字段和支付信息，与您的服务器发出的内容比对。
- 在确认前自动拦截，并配有管理后台、API，以及通过邮件、Slack、Teams 和 webhook 发送的告警。
何时选择哪一个
适合选择 F5 Client-Side Defense 的情况
- 您的应用已在 F5 Distributed Cloud 负载均衡器后面运行，团队希望在不触碰代码的情况下获得脚本清单。
- 您运行 BIG-IP 或其他 F5 基础设施，倾向于从单一控制台运维应用安全。
- 您的安全团队希望通过域名列表决定每项缓解措施，并记录审批和理由。
适合选择 Proteside 的情况
- 您的结账接受 UPI、PromptPay、PayNow、DuitNow、FPS、Pix、巴西 Boleto 或稳定币，风险在于收款人被调包。
- 您需要拦截在每一次会话中、在确认前发生，无需任何人先批准一份列表。
- 您的业务不在 F5 上，并希望用一行代码获得保护以及要求 6.4.3 和 11.6.1 的证据。
两者并用
在 F5 负载均衡器上启用了 Client-Side Defense 的团队，可以把清单和告警保留在那里，并在支付页面上加上 Proteside 来核对支付本身并拦截调包。两个脚本共存，Proteside 从不改动合法的付款。
常见问题
F5 Client-Side Defense 覆盖 Pix、Boleto 或二维码吗？
在 2026 年 10 月查阅的公开信息中未提及。F5 的文档描述的是脚本、目标域名、表单字段读取和标头；二维码、即时支付网络和 Boleto 缴款编号未被提及。
我可以同时使用 F5 Client-Side Defense 和 Proteside 吗？
可以。F5 的脚本可以继续由负载均衡器或手动插入，Proteside 则作为一行代码放在支付页面上。各自保留自己的清单；Proteside 加上收款人核对和自动拦截。
我在 F5 控制台中拒绝某个脚本会怎样？
根据 F5 的文档，拒绝某个脚本仅具提示作用，不会阻止它运行。要拦截，用户需要把域名加入 Mitigate List，这会应用于该域名的所有脚本。在 Proteside 中，已授权清单之外的脚本会在每一次会话中被拦截，无需手动步骤。
我需要在 F5 Distributed Cloud 上才能使用 Client-Side Defense 吗？
文档描述了两条路径：在 Distributed Cloud HTTP 负载均衡器上启用，或通过 CMS、CDN、负载均衡器或 BIG-IP 手动插入脚本。两种情况下，管理都在 Distributed Cloud 控制台中进行，并需要服务订阅。
F5 Client-Side Defense 会生成提交给 QSA 的报告吗？
公开资料提到 PCI DSS 和用于审计追踪的遥测数据；查阅的信息中没有列出以 QSA 为名的报告。Proteside 导出脚本清单和变更历史，用于要求 6.4.3 和 11.6.1 的评估。