HUMAN Security 与 Proteside：脚本控制还是支付核对？
作者 Laís Peixoto
Growth Marketer, Proteside
发布于
HUMAN Client-Side Defense 适合已在 HUMAN 平台上进行机器人与欺诈防护、希望以操作级拦截治理支付页面脚本的企业。Proteside 适合接受 UPI、PromptPay、PayNow、银行卡、稳定币或巴西 Pix、需要确认屏幕上的二维码、账户或钱包地址就是自己发出的那一个的商家，并包含脚本清单。
并排对比
- 自我描述
- 通过脚本控制实现 PCI DSS 合规和支付页面保护，属于 HUMAN 的 Application Protection 套件。
- 总部
- 美国纽约。2012 年以 White Ops 之名成立；2022 年与 PerimeterX 合并。
- 如何接入站点
- 一行 JavaScript（HUMAN Sensor），在每位访客的浏览器中运行；为 Salesforce Commerce Cloud 提供专用组件（cartridge）。
- 在支付页面上核对什么
- 带风险评分的脚本清单、脚本行为、银行卡表单数据和 HTTP 标头。
- PCI DSS
- 要求 6.4.3 和 11.6.1，附按需审计报告。根据委员会的公开名单，自 2024 年 3 月起为 PCI SSC 的主要参与组织（Principal Participating Organization）。
HUMAN Client-Side Defense
- 自我描述
- 面向付款时刻的网络安全防护层：买家看到、复制并确认的内容的完整性。
- 总部
- 巴西圣保罗。2026 年起运营。
- 如何接入站点
- 支付页面上的一行代码，或在平台或支付服务商模板中的一次集成。无需代理，无需更改 DNS 或 CDN。
- 在支付页面上核对什么
- 第三方脚本、银行卡表单、Pix 二维码与收款密钥、Boleto（巴西银行付款单）缴款编号、加密货币钱包地址，以及八个即时支付网络的二维码，全部与商家发出的内容比对。
- PCI DSS
- PCI DSS 要求 6.4.3 和 11.6.1 的证据，附可导出给 QSA 的报告。
Proteside
逐项对比
标注基于各厂商的公开文档。悬停或点按标注即可查看图例。
| HUMAN Security | Proteside | |
|---|---|---|
| 在付款人屏幕上核对什么 | ||
| 支付页面脚本的清单与授权要求 6.4.3 的基础：知道页面上运行着什么，并逐一授权。 | 公开文档中有描述 | 公开文档中有描述 |
| 表单中输入的银行卡信息阻止脚本复制卡号、有效期和安全码。 | 公开文档中有描述 | 公开文档中有描述 |
| Pix 二维码与复制粘贴码（巴西）巴西最常见的结账骗局：显示的二维码指向另一个账户。 | 公开信息中未提及 | 公开文档中有描述 |
| Boleto（巴西银行付款单）缴款编号被调包的编号会把同样的金额付给另一个收款方。 | 公开信息中未提及 | 公开文档中有描述 |
| 全球即时支付网络的二维码（UPI、PayNow、DuitNow、PromptPay、QR Ph、FPS、CoDi、Transferencias 3.0）与 Pix 相同的调包手法，横跨八个即时支付系统。 | 公开信息中未提及 | 公开文档中有描述 |
| 稳定币与加密货币钱包地址，包括复制时在屏幕上或剪贴板中被调包的钱包地址，损失不可逆。 | 公开信息中未提及 | 公开文档中有描述 |
| 将屏幕上显示的内容与商家发出的内容比对，并在确认前拦截调包定义支付完整性的那一项核对：收款方和金额与发出的一致。 | 公开信息中未提及 | 公开文档中有描述 |
| 如何保护 | ||
| 在买家浏览器中拦截未授权脚本事后才发现，被复制的数据已经追不回来。 | 公开文档中有描述 | 公开文档中有描述 |
| 监测真实买家会话定向骗局不会出现在模拟访问中。 | 公开文档中有描述 | 公开文档中有描述 |
| 无需更改 CDN、DNS 或代理即可运行一行代码即可接入任何平台。 | 公开文档中有描述 | 公开文档中有描述 |
| PCI DSS 合规 | ||
| PCI DSS 要求 6.4.3 的证据脚本的清单、授权与完整性。 | 公开文档中有描述 | 公开文档中有描述 |
| PCI DSS 要求 11.6.1 的证据页面及其标头的未授权更改。 | 公开文档中有描述 | 公开文档中有描述 |
| 可导出给评估机构（QSA）的报告证据必须走出管理后台，交到评估环节。 | 公开文档中有描述 | 公开文档中有描述 |
- 公开文档中有描述
- 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）
- 公开信息中未提及
- 厂商自述不提供此功能
HUMAN Security 的突出之处
拦截操作，保留脚本
数据表描述了阻止某个风险操作（例如读取表单字段）而不中断脚本的有用工作。这比允许或拒绝整个脚本更精细。
带风险评分的清单
每个脚本都有一个风险评分，并为要求 6.4.3 记录授权、理由和完整性检查。
与机器人和欺诈防护同一平台
该产品位于 HUMAN 的 Application Protection 套件内，与机器人管理、账户滥用和欺诈防护并列。已在运行该平台的团队可在同一控制台中管理支付页面。
PerimeterX 血统
该产品最初是 PerimeterX 的 Code Defender，技术文档中仍沿用此名；传感器有多年观察真实浏览器会话的历史。
Proteside 核对而 HUMAN 的资料未提及的内容
班加罗尔的一家网上药店为一笔 3,200 卢比的订单显示 UPI 二维码。客户用银行应用扫码，看到金额，确认付款。一个被攻陷的插件已经把二维码换成了绑定另一个虚拟支付地址的二维码，金额相同，商家名称相同。钱从客户账户划走，订单始终没有结清，商店只有在客户打电话时才发现。
HUMAN Sensor 监测脚本行为并拦截针对银行卡数据的风险操作，而且做得很精准。但对于 UPI、PromptPay、PayNow、DuitNow 或 FPS 二维码、Pix 密钥、巴西 Boleto（巴西银行付款单）编号或稳定币钱包地址，HUMAN 的公开文档没有描述把商家发出的内容与买家看到的内容比对。Proteside 记录您的服务器发出的每一笔收款，并核对买家屏幕上的二维码、账户、地址和金额，包括复制的那一刻。一旦不一致，确认即被拦截，这次尝试会变成一条告警和一份证据。
脚本清单、未授权脚本拦截以及页面和标头的变更历史都在同一个 Proteside 脚本中，并附有要求 6.4.3 和 11.6.1 所要求的报告。安装一行，覆盖两件事。
各自如何接入您的技术栈
HUMAN Security
- 一行 JavaScript（HUMAN Sensor）放在每个受监测页面上；为 Salesforce Commerce Cloud 提供现成的组件。
- 授权和缓解策略在 HUMAN 控制台中设置；脚本和标头告警、按需审计报告，以及与 SIEM 和工单工具的集成。
- 作为 Application Protection 套件的一部分交付，与机器人和欺诈防护并列。
Proteside
- 支付页面上的一行代码，适用于任何平台，或在平台或支付服务商模板中的一次集成。
- 在每一次会话中、对页面上的每种支付方式核对，不抽样，不要求特定的 CDN 或代理。
- 在确认前自动拦截；管理后台、API，以及通过邮件、Slack、Teams 和 webhook 发送的告警。
何时选择哪一个
适合选择 HUMAN Security 的情况
- 您的业务已在 HUMAN 平台上进行机器人和欺诈防护，希望由同一团队在同一控制台中管理支付页面。
- 银行卡是您的主要收款方式，您希望阻止第三方脚本的特定操作，而不把它从页面上移除。
- 您的商店运行在 Salesforce Commerce Cloud 上，现成的组件能减少安装工作。
适合选择 Proteside 的情况
- 您的结账接受 UPI、PromptPay、PayNow、DuitNow、FPS、稳定币或 Pix，风险在于收款方被调包。
- 您需要在真实会话中、在客户付款之前拦截被调包的二维码、账户或钱包地址。
- 您希望用一行代码获得保护以及要求 6.4.3 和 11.6.1 的证据，而不必采用整套套件。
两者并用
在 HUMAN 平台上的企业可以继续让 Client-Side Defense 治理脚本，并在支付页面上加上 Proteside 来核对支付本身。两个传感器在同一页面上共存；Proteside 不会改动合法的付款，也不会干扰另一款工具的清单。
常见问题
HUMAN Client-Side Defense 覆盖 UPI、PromptPay、Pix 或二维码吗？
在 2026 年 10 月查阅的公开信息中未提及。数据表和 Code Defender 文档描述的是脚本、脚本行为、表单数据和 HTTP 标头。
HUMAN Client-Side Defense 和 Proteside 可以一起运行吗？
可以。它们是支付页面上两个相互独立的脚本。Proteside 核对支付数据和脚本；HUMAN Sensor 继续执行自己的策略。两者都不要求特定的 CDN 或代理。
Code Defender 和 Client-Side Defense 是同一款产品吗？
是的。Code Defender 是该产品在 PerimeterX 时期的名称，HUMAN 的技术文档仍在使用；Client-Side Defense 是当前的商业名称，属于 Application Protection 套件。
HUMAN 描述的细粒度拦截是什么？
根据数据表，它指的是阻止脚本的某个风险操作（例如访问某个表单字段），而不禁用整个脚本。Proteside 拦截未授权脚本，并在此之上，当二维码、账户或钱包地址与发出的内容不一致时拦截确认。
Proteside 能替代 HUMAN 的机器人防护吗？
不能。机器人和欺诈防护判断的是流量和买家是否合法。Proteside 确保的是页面和支付数据没有被调包。这是不同的防护层，可以共存。