定义
Token化（Tokenization）指将敏感数据（如银行卡号、身份证号、设备序列号）替换为不可逆、无业务含义的令牌（Token）的技术。Token 可安全存储、传输，原始数据仅保存在受控环境中。Token化是 PCI-DSS 等支付合规的核心手段，也用于物联网设备的身份标识、溯源标签 等场景。
与加密不同，Token 无法还原为原始数据，降低泄露风险。跨境支付、充电平台 支付、OCPI 结算等场景均需 Token化 保护持卡人数据。
技术特点与架构
Token化架构包括：令牌生成——由 Token 服务提供商（TSP）或 HSM 生成；映射存储——Token 与原始数据的映射仅存于安全库；去Token化——授权场景下由安全模块还原；合规——PCI-DSS、PSD2 等要求敏感数据不可明文存储。物联网场景可对设备 ID、溯源标签 进行 Token化，实现匿名化查询。与 强认证、3DS 结合，可提升支付安全。
跨境场景下，Token化需满足多国支付规范，支持多币种、多卡组织。
在物联网与跨境场景中的应用
Token化广泛应用于：充电支付——充电站 支付时卡号 Token化 存储；跨境支付——满足 PCI-DSS、当地支付规范；设备身份——设备 ID Token化 用于匿名统计；溯源查询——溯源平台 通过 Token 查询 可追溯 信息。跨境充电、全球支付、链上结算 等场景均依赖 Token化 保障数据安全。
达希物联为充电桩、支付终端等设备提供连接支持，配合 Token化 方案，助力跨境支付合规落地。
令牌替代原值之后还剩什么信息
Token化在跨境支付和设备标识里，是用一个没有业务含义、也不能自行换算回原值的令牌替换敏感原值。令牌可以在漫游终端、境外网关和日志里传递；原值留在受控的令牌库，只有指定系统能在授权场景下做还原。它和加密不同：加密后的密文配合密钥仍能还原，令牌在离开令牌库之后应当无法还原。因此把卡号做一次可逆加密再叫作令牌，并没有缩小境外系统的接触面。
令牌的作用域要写清楚。用于扣款的支付令牌、用于对账的交易号、用于匿名统计的设备代号，不能是同一个值。共用之后，拿到统计导出的人就拿到了支付凭证的索引。
漫游侧可以持有令牌的条件
漫游地的充电桩或网关可以保存令牌，前提是它不保存还原所需的对照关系，并且令牌的使用范围被限制在特定商户、金额或期限。对照表若随数据库备份同步到境外，Token化在架构图上存在，在备份里已经失效。还原操作应发生在原值被允许存在的环境，由独立权限触发，并留下与普通查询不同的审计。网络通不通，不决定能不能还原。
设备标识若也做令牌化，运维排障会失去按硬件序列号检索的能力。需要预先约定：现场维修用短时、可审计的查询，日常漫游日志只用令牌。没有这条路径，维修人员会要求把原值重新写进报文，方案在第一次大故障时被绕开。
把掩码和令牌当成同一件事
界面上隐藏中间几位，只是展示掩码，后台和日志仍可能是原值。把掩码叫作 Token化，会让跨境日志继续携带完整主账号。另一类失误是令牌算法被做成可预测的序列，相邻交易的令牌可以互推。还有在测试环境使用生产对照表的副本，测试库的访问控制更松，原值从测试侧泄露。漫游联调常把生产卡号直接打进调试报文，联调结束后报文仍留在境外抓包文件里。
检查时要问三个问题：境外节点的磁盘上有没有原值，对照表的备份落在哪一国，测试数据是否来自生产。三个答案里只要有一个失控，令牌就没有起到隔离作用。
令牌还要规定失效方式。支付令牌被盗用后，应能单独作废这一枚，而不是把整张卡或整台桩的全部令牌一起废除。漫游地若缓存了已作废的令牌并在离线时继续接受，恢复联网后要能拒付并留下原交易号。没有失效名单的令牌，只是把原值换了个样子继续长期有效。