在我的方案中，当用户第一次想要用信用卡付款时，他必须重新输入登录密码和完整的信用卡信息。
支付成功后，我会生成一个随机密钥，并将其打包成密钥库。最后将密钥库文件存储在内部存储器中，这个密钥库文件受到用户登录密码的保护。另一方面，信用卡信息将被该密钥加密并转换为Base64编码字符串，最终写入内部存储器中的文件。
在下一次使用信用卡付款时，用户也必须重新输入登录密码，这样我就可以使用它来解锁密钥库文件并提取密钥。此时，我有能力解密用户的信用卡信息。
以上是我保护设备上存储的信用卡信息的方法，这是否安全呢？
不要在设备上保存用户信用卡数据！这样做无法确保安全。已取得 root 权限的手机可以更轻松地让应用程序访问敏感数据。设备可能会丢失或被盗。您需要实现安全的用户登录到服务器并将信用卡数据存储在那里。
您不应该在用户设备上存储信用卡号码。
PCI要求对加密元素进行季度密钥更改 - 那么您将如何实现呢？强制用户每3个月更改密码吗？如果他们从未登录更改密码怎么办？
您的方法极易受到攻击者成为“客户”以尝试破坏您的系统的影响 - 他将能够在自己的设备上轻松完成攻击而不被检测或抵抗。然后，他可以利用所学攻击其他客户的账户。请告诉我们您正在处理的网站 - 如果您遵循这种设计方法，我想在您完成后远离它。
