PesanLagi 安全架构与 PDPA 合规规范

PesanLagi 平台上的每个注册商家均在严格的逻辑隔离分区中运行。所有的顾客列表、集章流水、收银核销队列及优惠配置均绑定专属的 Tenant UUID。

后端微服务在每次数据库事务和内存缓存查询时强制执行租户边界校验，从架构根源彻底杜绝跨租户数据泄露风险。

传输中数据（In-Transit）：所有 Web 与 API 接口通信均全面采用 TLS 1.3 现代加密协议，并配置自动化 Let’s Encrypt / ZeroSSL 证书及 HSTS 安全标头。

静态存储数据（At-Rest）：持久化数据库集群与冷备份文件均受硬件加速的 AES-256 分组加密算法严密保护。

敏感凭证保护：商家管理密码及关键凭据使用经过自适应加盐的 BCrypt（Work Factor 12）单向哈希算法存储。

针对台面二维码扫码集章的特殊场景，系统构建了严密的多层次防作弊风控：

• 收银台实时待审队列（Cashier Live Queue）：顾客扫码后仅提交待审申请（PENDING），必须由店内收银员在后台输入独立 PIN 码实名确认。

• Web Audio 实时核销音效：每当印花核销通过，系统即刻触发清脆的 Web Audio 提示音，让柜台员工在高峰期也能凭声音轻松判定。

• 频率限制与冷却期（Rate Limiting）：同一手机号在设定的时间窗口内限制重复提交，阻止自动化机器人的恶意连续刷章。

PesanLagi 深度契合马来西亚《个人数据保护法 2010》的七大核心原则：

1. 一般原则：仅为用户明确知情且同意的会员集章服务目的处理数据。

2. 通知与选择原则：扫码集章前清晰向顾客出示手机号录入提示与服务声明。

3. 披露原则：绝不将消费者个人画像或联系方式披露或售卖给第三方营销商。

4. 安全原则：采用行业前沿的 AES-256 加密、网络防火墙及多租户防护策略。

5. 保留原则：在会员生命周期与法定义务所需期间内安全保留数据，超期安全归档。

6. 数据完整性原则：确保交易流水与集章账目的准确性与不可随意篡改性。

7. 查阅与更正原则：为顾客和商家提供便捷的权利请求渠道与被遗忘权支持。

PesanLagi 所有后端微服务均基于 Linux Alpine 极简 Docker 容器构建，并在非 root（Non-Root）低权限系统用户下运行，大幅压缩潜在攻击面。

生产数据库实行每日自动化快照备份，定期组织容灾演练，确保在极端突发情况下亦能迅速完成业务恢复。