卡发行 › 指南
归属校验通过后明文返回卡号、CVV、有效期。我方只保证自己的库和日志不落这三样。
查看卡密
POST /v1/cards/{id}/secure-session
校验卡属于你这个商户、且属于 x-on-behalf-of 指定的会员之后，实时调用上游并明文返回卡号、CVV、有效期。PIN 不在响应中。
红线不是「永不经你」
完整卡号与 CVV 是「拿到就能花钱」的数据。我方的责任停在自己的服务器：不落库、不进日志、列表详情只出前四后四。归属对上之后明文给你，你怎么给自己的用户看，是你的事。
三条约定
- 不走幂等缓存：否则 PAN/CVV 会进入我方幂等存储。
- 响应禁止缓存：
Cache-Control: no-store。 - 留痕记「谁看过」，不记卡密本身。
CVV 被锁了怎么办
POST /v1/cards/{id}/cvv/unblock
卡密查看连错几次之后上游会把 CVV 锁掉 —— 卡详情里的 cvv_blocked 变成true。这时 secure-session 返回 state_invalid，先解锁再重新查询。
先读 cvv_blocked，锁着就先解锁 —— 给一句人话，比让他点进去撞墙好。
- 不需要强认证：解锁本身不泄露任何东西。解完之后重新实时查询即可。
- 有限流（每会员每小时 5 次）。
- 出参只说「解开了」；
cvv_blocked的事实源是GET /v1/cards/{id}，回查那里。