@deepwhale-cn/dsh-industry-finance
支付敏感信息、十年留存，金融这条线查得更严
插件会安装到这里；不确定时保持 web。
npx -y @deepseek-ai/dsh plugin --profile web add github:feely0208/dsh-industry-finance#79a64b5f08bd1432bef84db453fc352eeab0ce20Industry Finance 以 @deepwhale-cn/dsh-industry-finance 发布，当前版本为 0.1.1。Plugin Hub 会校验它的 manifest，并保存精确安装来源，便于复现安装结果。
金融行业专项检查：装它之后，支付敏感信息、口令明文、卡号裸展示、留存不足十年、客户端乱存卡、明文传输、测试环境连生产 —— 这七类问题在代码里就能先筛一遍。
关键词：金融 · 支付 · 银行卡 · 反洗钱 · 金融数据安全 · 支付敏感信息 · 卡号脱敏 · 数据安全 Keywords: finance · payment security · PCI · cardholder data · AML retention · China financial data security
支付项目最怕的不是「有 bug」，而是数据留下了不该留的东西。
CREATE TABLE t_card_bind (
card_no VARCHAR(32),
cvv2 VARCHAR(4), -- 存了
track2 VARCHAR(104), -- 也存了
card_pwd VARCHAR(64) -- 还存了
);
开发觉得「方便排查」，跑起来也没报错。直到出事那天，监管问的是：
这些问题的共同点是：代码里的一个小配置，事后要用很高的代价解释。
是：一个静态线索检查器。它扫 rules/ 里 7 条判据，把可疑的字段名、DDL、日志、模板插值、留存配置、传输配置、环境配置挑出来，附上条款出处，让你去确认。
不是：
7 条判据，全部围绕金融行业「支付敏感信息 + 十年留存 + 传输/环境隔离」这条线：
| 级别 | 规则 | 查什么 |
|---|---|---|
| 🔴 高 | FIN-PAY-SENSITIVE-RETENTION | 字段/模型/配置出现 cvv、cvn、track1/2、magnetic_stripe、card_pwd、pay_pwd（支付敏感信息不应留存） |
| 🔴 高 | FIN-AUTH-PLAINTEXT | 口令/PIN/短信验证码明文落库（password varchar）、写日志、System.out 打印 |
| 🟡 中 | FIN-PAN-DISPLAY | 模板/日志里 ${cardNo}、{{cardNo}} 直接插值，没走 mask/substring/脱敏工具 |
| 🔴 高 | FIN-AMC-10Y | 留存配置 < 3650 天、INTERVAL <10 YEAR/DAY、分区清理短于十年 |
| 🔴 高 | FIN-CLIENT-LOCAL-STORE | 客户端把卡号/CVV/口令存进 SharedPreferences/MMKV/UserDefaults/localStorage |
| 🟡 中 | FIN-TRANSPORT-PLAINTEXT | useSSL=false、sslMode=DISABLED、verifyServerCertificate=false、支付/鉴权链路 http://、ftp://、TLSv1.0 |
| 🟡 中 | FIN-TESTENV-PROD-DATA | application-test/dev/uat/sit 指向 prod/prd/生产，或 profiles.active=prod，且同文件没有脱敏开关 |
判据出处（每条规则 JSON 里都带完整 source，--list-rules 可看）：
规则编号只用于定位，判据以官方原文为准。本工具不展开法条解释。
when：项目里没有支付/卡/客户端相关代码时，规则不跑，进 notApplicable，报告里写清楚「N 条因不适用未运行」。card_mask / card_token 字段不算支付敏感信息passwordEncoder / bcrypt / PBKDF2 / SM3 / SHA-256 同行的口令列不报password: ${DB_PWD}、已打码 ****、passwordPolicy 命名不报substring / mask / DesensitizedUtil 的卡号不报session / cache / log / 风控快照的短留存不报access_token、掩码、生物识别开关不报localhost / 127.0.0.1 / 内网地址 / 已终止 TLS 的配置不报desensitize / 脱敏 开关的不报dsh plugin --profile web add @deepwhale-cn/dsh-industry-finance
# 或纯 CLI
npx @deepwhale-cn/dsh-industry-finance
dsh-industry-finance --demo # 看检出效果
dsh-industry-finance --list-rules # 列出判据和依据
dsh-industry-finance --root ./my-app # 检查指定项目
dsh-industry-finance --html r.html # HTML 报告（可截图存档）
dsh-cn-crypto。dsh-data-scan —— 通用敏感数据（身份证/手机号/银行卡号）扫描；本插件聚焦支付 C3 与金融条款dsh-data-lifecycle —— 通用数据留存策略；本插件补反洗钱「十年」这条金融专线dsh-cn-log-retention —— 网络日志六个月留存；与十年交易记录留存是两条不同的线dsh-industry-medical / dsh-industry-education —— 医疗、教育行业层，与金融层互不重叠本插件是一个工具。使用者必须遵守所在地区法律法规，对使用本项目造成的任何后果自行承担责任。
一个插件做一件事。安全问题是链式的 —— 配套用才完整。
国内合规（12）｜ 等保对照 · 日志留存 · 备案公示 · 用户同意 · 个人信息权利 · 未成年人保护 · 影响评估 · 数据分类分级 · 算法备案 · 数据出境 · 国密合规 · AI 内容标识
AI 与 Agent 治理（6）｜ AI 输出信任 · 外部内容信任 · MCP 安全 · Agent 权限 · 策略核对 · 可疑指令
数据与凭据（5）｜ 敏感数据 · 密钥轮换 · 数据留存 · 配置审计 · 密钥扫描
供应链与构建（5）｜ 开源许可 · 依赖投毒 · CI 安全 · 工具审查 · 物料清单
行业专项（4）｜ 医疗行业专项 · 教育行业专项 · 金融行业专项 · 地方数据条例
编排与交付（4）｜ 一键体检 · 改前改后复核 · 合规可交付文档 · 整改建议
都在 DSH 插件市场（dsh-plugin.org）、npm 和 deepwhale.org.cn/guard.html 上。