DSH Plugins Marketplace

DSH Plugins

Plugins

/

dsh-industry-finance

d

dsh-industry-finance

Manifest valid

Payment sensitive information, 10-year retention — the financial sector is under even stricter scrutiny.

hasBundlePatch

@deepwhale-cn/dsh-industry-finance

dshfind 收录

Listed on dsh-plugin.org

金融行业专项检查：装它之后，支付敏感信息、口令明文、卡号裸展示、留存不足十年、客户端乱存卡、明文传输、测试环境连生产 —— 这七类问题在代码里就能先筛一遍。

关键词：金融 · 支付 · 银行卡 · 反洗钱 · 金融数据安全 · 支付敏感信息 · 卡号脱敏 · 数据安全 Keywords: finance · payment security · PCI · cardholder data · AML retention · China financial data security

不装它会怎样

支付项目最怕的不是「有 bug」，而是数据留下了不该留的东西。

CREATE TABLE t_card_bind (
  card_no  VARCHAR(32),
  cvv2     VARCHAR(4),      -- 存了
  track2   VARCHAR(104),    -- 也存了
  card_pwd VARCHAR(64)      -- 还存了
);

开发觉得「方便排查」，跑起来也没报错。直到出事那天，监管问的是：

  • 支付敏感信息（CVN/CVN2、磁道、卡密码）为什么会被留存？
  • 口令为什么是明文列？
  • 交易记录为什么只留了 1825 天？
  • 线上事故复盘时，为什么测试库连的是生产？

这些问题的共同点是：代码里的一个小配置，事后要用很高的代价解释。

先说清楚它是什么、不是什么

是：一个静态线索检查器。它扫 rules/ 里 7 条判据，把可疑的字段名、DDL、日志、模板插值、留存配置、传输配置、环境配置挑出来，附上条款出处，让你去确认。

不是：

  • 不是合规审计。它没有数据流分析、不做接口画像、不做制度与流程核查。
  • 不是「合规通过」的证明。0 命中只说明没扫到静态线索。
  • 不是代码修改器。它只报位置，不改代码。
  • 不是 PCI DSS 扫描器。它用的是中国金融行业规范与支付条例的条款。

它查什么

7 条判据，全部围绕金融行业「支付敏感信息 + 十年留存 + 传输/环境隔离」这条线：

级别规则查什么
🔴 高FIN-PAY-SENSITIVE-RETENTION字段/模型/配置出现 cvv、cvn、track1/2、magnetic_stripe、card_pwd、pay_pwd（支付敏感信息不应留存）
🔴 高FIN-AUTH-PLAINTEXT口令/PIN/短信验证码明文落库（password varchar）、写日志、System.out 打印
🟡 中FIN-PAN-DISPLAY模板/日志里 ${cardNo}、{{cardNo}} 直接插值，没走 mask/substring/脱敏工具
🔴 高FIN-AMC-10Y留存配置 < 3650 天、INTERVAL <10 YEAR/DAY、分区清理短于十年
🔴 高FIN-CLIENT-LOCAL-STORE客户端把卡号/CVV/口令存进 SharedPreferences/MMKV/UserDefaults/localStorage
🟡 中FIN-TRANSPORT-PLAINTEXTuseSSL=false、sslMode=DISABLED、verifyServerCertificate=false、支付/鉴权链路 http://、ftp://、TLSv1.0
🟡 中FIN-TESTENV-PROD-DATAapplication-test/dev/uat/sit 指向 prod/prd/生产，或 profiles.active=prod，且同文件没有脱敏开关

判据出处（每条规则 JSON 里都带完整 source，--list-rules 可看）：

  • 《个人金融信息保护技术规范》（JR/T 0171—2020）6.1.2 c)、6.1.3 a)/c)/d)、6.1.4.1 c)
  • 《非银行支付机构监督管理条例》（国令第768号）第二十六条
  • 《银行保险机构数据安全管理办法》（金规〔2024〕24号）第四十四条、第四十五条、第四十八条
  • 《中华人民共和国反洗钱法》（2024 修订）第三十四条

规则编号只用于定位，判据以官方原文为准。本工具不展开法条解释。

它怎么避免误报

  • 高风险规则带 when：项目里没有支付/卡/客户端相关代码时，规则不跑，进 notApplicable，报告里写清楚「N 条因不适用未运行」。
  • 边界写法不报：
    • card_mask / card_token 字段不算支付敏感信息
    • passwordEncoder / bcrypt / PBKDF2 / SM3 / SHA-256 同行的口令列不报
    • password: ${DB_PWD}、已打码 ****、passwordPolicy 命名不报
    • 模板里已调 substring / mask / DesensitizedUtil 的卡号不报
    • session / cache / log / 风控快照的短留存不报
    • 客户端只存 access_token、掩码、生物识别开关不报
    • localhost / 127.0.0.1 / 内网地址 / 已终止 TLS 的配置不报
    • 测试配置里有 desensitize / 脱敏 开关的不报

安装

dsh plugin --profile web add @deepwhale-cn/dsh-industry-finance
# 或纯 CLI
npx @deepwhale-cn/dsh-industry-finance

用法

dsh-industry-finance --demo          # 看检出效果
dsh-industry-finance --list-rules    # 列出判据和依据
dsh-industry-finance --root ./my-app # 检查指定项目
dsh-industry-finance --html r.html   # HTML 报告（可截图存档）

边界

  • 只看静态线索 —— 不做数据流、不做运行时抓包、不读数据库实际数据。
  • 不做缺项判定 —— 没有留存配置不代表没留十年（可能由 DBA/归档平台统一做）。
  • 不判断加密强度 —— 只查「有没有明文/明文通道的迹象」，密钥管理与算法强度交给 dsh-cn-crypto。
  • 条款以官方原文为准 —— 本工具输出的是「去确认」的提示，不是法律意见。

与其它插件的分工

  • dsh-data-scan —— 通用敏感数据（身份证/手机号/银行卡号）扫描；本插件聚焦支付 C3 与金融条款
  • dsh-data-lifecycle —— 通用数据留存策略；本插件补反洗钱「十年」这条金融专线
  • dsh-cn-log-retention —— 网络日志六个月留存；与十年交易记录留存是两条不同的线
  • dsh-industry-medical / dsh-industry-education —— 医疗、教育行业层，与金融层互不重叠

本插件是一个工具。使用者必须遵守所在地区法律法规，对使用本项目造成的任何后果自行承担责任。

深鲸网安守护系列（共 39 个）

一个插件做一件事。安全问题是链式的 —— 配套用才完整。

国内合规（12）｜ 等保对照 · 日志留存 · 备案公示 · 用户同意 · 个人信息权利 · 未成年人保护 · 影响评估 · 数据分类分级 · 算法备案 · 数据出境 · 国密合规 · AI 内容标识

AI 与 Agent 治理（6）｜ AI 输出信任 · 外部内容信任 · MCP 安全 · Agent 权限 · 策略核对 · 可疑指令

数据与凭据（5）｜ 敏感数据 · 密钥轮换 · 数据留存 · 配置审计 · 密钥扫描

供应链与构建（5）｜ 开源许可 · 依赖投毒 · CI 安全 · 工具审查 · 物料清单

权限与应急（3）｜ 最小权限 · 告警外发 · 应急证据包

行业专项（4）｜ 医疗行业专项 · 教育行业专项 · 金融行业专项 · 地方数据条例

编排与交付（4）｜ 一键体检 · 改前改后复核 · 合规可交付文档 · 整改建议

都在 DSH 插件市场（dsh-plugin.org）、npm 和 deepwhale.org.cn/guard.html 上。

powered by dwh

Comments

Loading…