Apple Pay令牌transactionId是全球唯一的吗？

Question

我正在调查使用Apple Pay transactionId防御同一支付门的重放攻击的可能性。 防御应该依赖于参与签名的领域并且是独一无二的。

但是， 付款令牌格式参考将paymentData.header.transactionId描述为

在设备上生成的事务标识符。

这还不足以将其视为全球唯一的。

Answer 1

以下是ApplePayJS令牌的测试示例：

{
    "paymentData": {
        "version": "EC_v1",
        "data": "...",
        "signature": "...",
        "header": {
            "ephemeralPublicKey": "MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAE6jY12R9PoL7bzaC3/ibs6q6+g/cqjSkiO3GVFld2NVUA6kRlq0iJRT+XzfmGFvRs/G2qwgmWY8fKu7p6Ktgxug==",
            "publicKeyHash": "AJiEM3d+czut7s1t4QdtRBPjSOxw0D6iWSp1MUdXueM=",
            "transactionId": "f8f0c804922303decba1a8a4f7c503df1a6314e44e8db5ae7eb6b7fe0323513b"
        }
    },
    "paymentMethod": {
        "displayName": "MasterCard 1471",
        "network": "MasterCard",
        "type": "debit"
    },
    "transactionIdentifier": "F8F0C804922303DECBA1A8A4F7C503DF1A6314E44E8DB5AE7EB6B7FE0323513B"
}

在实践中，它总是使顶级transactionIdentifier字段与嵌套的paymentData.header.transactionId不区分大小写。

文档说：

transactionIdentifier

此付款的唯一标识符。

该标识符适用于收据。

Google搜索还会发现如何使用Apple Pay处理退货 ：

在日本，您还可以使用收据上的交易ID来查找购买并处理退货。

transactionId也是64个十六进制字符或32个完整字节长。 哪个比唯一交易标识符格式长 。 因此，有足够的空间来真正具有全球独特性。

仍在寻找更直接可靠的证据。