ENGINEERING NOTE 37 / 50 · CARD
卡片审计导出如何避免泄露卡片秘密
审计导出需要可追溯资金引用，不需要完整卡片凭据。导出结构应独立于运营数据库结构设计。
本文由 OPEN RAMBO 发布。工程方案和伪代码用于说明设计，不是现有产品 API 文档；示例数字均为演示。
明确选择字段
显式允许交易编号、脱敏卡引用、金额、币种、状态和时间。直接序列化整个文档会泄露后来新增字段。生成文件前限定租户和归属。
保护表格阅读者
CSV中商户名称和备注视为不可信文本。表格软件可能把某些开头字符当公式。按格式转义或编码，源系统保留原值。
让访问过期
下载需授权、有限期限并记录访问。财务文件不宜默认永久公开链接。文件留存删除遵循组织明确要求。
示意流程
export_fields = ["transaction_ref", "card_last4", "amount",
"currency", "status", "posted_at"]
# Never serialize the complete card document.如何验收
测试以公式字符开头的备注和另一用户导出请求，均不能突破边界。