Jscrambler 与 Proteside：脚本控制还是支付核对？
作者 Laís Peixoto
Growth Marketer, Proteside
发布于
Jscrambler 保护企业自有的 JavaScript，并通过 Webpage Integrity 盘点和控制支付页面上的脚本，附带 PCI DSS 证据。Proteside 保留这份清单，并核对支付本身：把二维码、账户标识、Boleto 缴款编号和钱包地址与商家发出的内容比对，并在确认前拦截调包。
并排对比
- 自我描述
- 客户端安全平台，有两款产品：Code Integrity 保护企业自有的 JavaScript，Webpage Integrity 控制页面上运行的脚本。Iframe Integrity 面向支付服务商。
- 总部
- 葡萄牙波尔图。成立于 2014 年。
- 如何接入站点
- 通过代码片段或标签管理器添加的 JavaScript 代理，建议作为最先加载的脚本之一；或 Agentless Monitoring（无代理监测），由模拟用户访问客户列出的页面。
- 在支付页面上核对什么
- 第一方、第三方和第四方脚本，相对于历史基线的行为漂移，对表单、Cookie 和浏览器存储的访问，以及出站网络请求。
- PCI DSS
- 要求 6.4.3 和 11.6.1，配有合规模块和可直接用于评估的报告。官网运营一个名为 QSA Alliance 的计划。
Jscrambler Webpage Integrity
- 自我描述
- 面向付款时刻的网络安全防护层：买家看到、复制并确认的内容的完整性。
- 总部
- 巴西圣保罗。2026 年起运营。
- 如何接入站点
- 支付页面上的一行代码，或在平台或支付服务商模板中的一次集成。无需代理，无需更改 DNS 或 CDN。
- 在支付页面上核对什么
- 第三方脚本、银行卡表单、Pix 二维码与收款密钥、Boleto（巴西银行付款单）缴款编号、加密货币钱包地址，以及八个即时支付网络的二维码，全部与商家发出的内容比对。
- PCI DSS
- PCI DSS 要求 6.4.3 和 11.6.1 的证据，附可导出给 QSA 的报告。
Proteside
逐项对比
标注基于各厂商的公开文档。悬停或点按标注即可查看图例。
| Jscrambler | Proteside | |
|---|---|---|
| 在付款人屏幕上核对什么 | ||
| 支付页面脚本的清单与授权要求 6.4.3 的基础：知道页面上运行着什么，并逐一授权。 | 公开文档中有描述 | 公开文档中有描述 |
| 表单中输入的银行卡信息阻止脚本复制卡号、有效期和安全码。 | 公开文档中有描述 | 公开文档中有描述 |
| Pix 二维码与复制粘贴码（巴西）巴西最常见的结账骗局：显示的二维码指向另一个账户。 | 公开信息中未提及 | 公开文档中有描述 |
| Boleto（巴西银行付款单）缴款编号被调包的编号会把同样的金额付给另一个收款方。 | 公开信息中未提及 | 公开文档中有描述 |
| 全球即时支付网络的二维码（UPI、PayNow、DuitNow、PromptPay、QR Ph、FPS、CoDi、Transferencias 3.0）与 Pix 相同的调包手法，横跨八个即时支付系统。 | 公开信息中未提及 | 公开文档中有描述 |
| 稳定币与加密货币钱包地址，包括复制时在屏幕上或剪贴板中被调包的钱包地址，损失不可逆。 | 公开信息中未提及 | 公开文档中有描述 |
| 将屏幕上显示的内容与商家发出的内容比对，并在确认前拦截调包定义支付完整性的那一项核对：收款方和金额与发出的一致。 | 公开信息中未提及 | 公开文档中有描述 |
| 如何保护 | ||
| 在买家浏览器中拦截未授权脚本事后才发现，被复制的数据已经追不回来。 | 公开文档中有描述 | 公开文档中有描述 |
| 监测真实买家会话定向骗局不会出现在模拟访问中。 | 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）1 | 公开文档中有描述 |
| 无需更改 CDN、DNS 或代理即可运行一行代码即可接入任何平台。 | 公开文档中有描述 | 公开文档中有描述 |
| PCI DSS 合规 | ||
| PCI DSS 要求 6.4.3 的证据脚本的清单、授权与完整性。 | 公开文档中有描述 | 公开文档中有描述 |
| PCI DSS 要求 11.6.1 的证据页面及其标头的未授权更改。 | 公开文档中有描述 | 公开文档中有描述 |
| 可导出给评估机构（QSA）的报告证据必须走出管理后台，交到评估环节。 | 公开文档中有描述 | 公开文档中有描述 |
- 公开文档中有描述
- 有描述但附带限制（可选、抽样、需人工操作或仅限某一产品层级）
- 公开信息中未提及
- 厂商自述不提供此功能
标注说明
- 1监测真实买家会话: 公开的入门指南描述了两种模式。在代理模式下，脚本在真实买家会话中观察并拦截。在 Agentless Monitoring 下，模拟用户访问客户列出的支付页面；按厂商自己的描述，该模式不跟随每一位买家的浏览器。
Jscrambler 的突出之处
代码和页面出自同一厂商
Code Integrity 加固企业编写的 JavaScript 以抵御逆向工程；Webpage Integrity 治理页面上运行的脚本。两者都需要的团队只需面对一家供应商。
拦截操作，保留脚本
Form Fencing 阻止未授权脚本读取表单字段，Network Transfer Control 管控出站请求。公开资料描述的是拦截风险操作，而不是移除整个脚本。
面向支付服务商的 Iframe Integrity
一款独立产品保护商家结账页面中的支付 iframe，防御 iframe 和表单覆盖攻击，且对商家没有任何要求。
行为基线
Behavioral Drift Detection 将每个脚本的行为与其自身历史比对，并根据实时浏览器遥测数据为供应商风险评分。
Proteside 核对而 Jscrambler 的资料未提及的内容
班加罗尔的一家电子产品商店为一笔 42,000 卢比的订单显示 UPI 二维码。买家打开支付应用，扫码并确认。结账页面上一个被攻陷的插件早已把二维码换成了指向另一个账户、金额相同的二维码。钱出去了，订单始终没有结清，而整个过程中没有任何银行卡表单参与。
Webpage Integrity 以脚本控制、表单围栏和出站请求规则来回答银行卡问题。它的公开文档没有描述核对屏幕上的二维码、账户标识、巴西 Boleto（巴西银行付款单）缴款编号或钱包地址是否就是商家发出的那一个。Proteside 在这些值发出时记录下来，并在买家的浏览器中与显示和复制的内容比对。一旦不一致，确认即被拦截，这次尝试会被记录为证据。
同一行代码盘点脚本、保护银行卡表单，并保留要求 6.4.3 和 11.6.1 所要求的变更历史。一次安装即可在同一个管理后台中覆盖信用卡、借记卡、UPI、PromptPay、PayNow、DuitNow、FPS、Pix、Boleto 和稳定币钱包。
各自如何接入您的业务
Jscrambler
- 通过代码片段部署代理，注入通常由客户的 DevOps 团队完成，或通过标签管理器；指南建议在每个页面上将其列为最先加载的脚本之一。
- 无代码选项：Jscrambler 设置一个模拟用户，访问客户提供的支付 URL。
- 入驻流程包括指定负责人、梳理敏感表单、每周配置会议和每季度的允许列表复核。
Proteside
- 支付页面上的一行代码，适用于任何电商平台，或在平台或支付服务商模板中的一次集成。
- 每一次购买会话、每一个支付页面都会核对，没有模拟用户，也没有需要维护的 URL 列表。
- 调包在确认前被拦截；管理后台、API，以及通过邮件、Slack、Teams 和 webhook 发送的告警记录每一次尝试。
何时选择哪一个
适合选择 Jscrambler 的情况
- 您的应用 JavaScript 需要防御逆向工程，并希望由一家厂商同时负责代码和页面。
- 您是以 iframe 形式交付结账页面的支付服务商，希望在不要求商家安装任何东西的情况下保护商家。
- 银行卡是主要收款方式，您的安全团队希望按脚本行为制定策略，并有历史基线和定期的允许列表复核。
适合选择 Proteside 的情况
- 您的结账接受 UPI、PromptPay、PayNow、DuitNow、FPS、Pix、Boleto 或稳定币，风险在于收款方被调包。
- 您需要在每一位买家的浏览器中、在每一次会话里拦截调包，而不依赖模拟访问。
- 您希望一次安装就获得保护以及要求 6.4.3 和 11.6.1 的证据，无需配置会议。
两者并用
使用 Code Integrity 保护自有 JavaScript 的企业可以保留这一层，并在支付页面上加上 Proteside 来核对二维码、账户标识和钱包地址。如果 Webpage Integrity 代理拦截未知脚本，Proteside 的脚本会像其他供应商一样被加入允许列表；两者在同一页面上运行。
常见问题
Jscrambler 覆盖 Pix、Boleto 或二维码吗？
在我们 2026 年 10 月查阅的公开信息中未提及。Webpage Integrity 的资料描述的是脚本、表单字段、Cookie、浏览器存储和出站网络请求。
Jscrambler 和 Proteside 可以一起使用吗？
可以。它们是支付页面上两个相互独立的脚本。如果 Jscrambler 代理设置为拦截列表之外的脚本，Proteside 的脚本会像其他供应商一样获得授权。Proteside 不会干扰合法付款，也不会干扰另一款工具的清单。
Code Integrity 和 Webpage Integrity 有什么区别？
Code Integrity 保护企业自己编写的 JavaScript，提供混淆和逆向工程防御。Webpage Integrity 观察并控制页面上运行的脚本（包括第三方脚本），并配有面向要求 6.4.3 和 11.6.1 的模块。Proteside 对比的是后者。
Jscrambler 的无代理模式会跟随每一位买家吗？
根据公开指南，Agentless Monitoring 使用一个模拟用户访问客户列出的页面。只对某一位买家出现的调包（例如在单次会话中被替换的二维码）不会被这个访问者看到。实时拦截属于代理模式。
我们是采用 iframe 结账的支付服务商。哪一个更合适？
Jscrambler 的 Iframe Integrity 正是为这种情况打造的，无需商家操作即可保护 iframe。Proteside 为服务商和平台提供一次性集成，在每一次会话中核对显示的支付信息。两者可以在同一个结账页面中共存。