您正在将您的网上银行凭证输入到商家拥有的界面中。iframe 来自 POLi，但最终用户没有简单的方法来验证这一点，并且父页面仍然有机会弄乱框架。

因此，除非您信任，否则不应在此界面上输入您的凭据：

• POLi 不会存储或滥用您提供给他们的凭据；

• 商家不要通过点击劫持或只是将框架指向其他来源（网络钓鱼式）来盗取凭据；

• 商家使用的任何第三方脚本提供商（例如分析、广告）不注入会窃取凭据的脚本内容；

• 商户保护他们的整个网站免受所有可能让攻击者窃取凭据的 XSS 漏洞的影响。

• POLi 不存在任何漏洞，其他方可以通过将其界面包含在 iframe 中并使用点击劫持来获取信息。（当您的界面必须允许 iframe 时，这很难完全防止。）

POLi 正在有效地对您的网上银行进行中间人攻击，可以预见的是，一些银行对此感到不安。如果您遭受欺诈（无论是否与使用 POLi 服务有关），您的银行可能会争辩说您有一些责任，因为您没有遵守协议的目的，对所有人保密您的银行凭证，但银行。

POLi 并不是唯一采用这种方法的一方——例如德国的 Sofortüberweisung。我个人认为这是一个疯狂的想法，但这并不是第一个从金融界流行起来的疯狂想法。

如果您阅读他们的隐私声明，它或多或少表明您授予他们对您的银行帐户的完全访问权限，以及如果您使用该服务，他们有权访问您的完整银行交易历史记录。我个人认为这是不可接受的。

此外，他们完全没有必要访问您的帐户并处理付款。

我过去所做的只是简单地复制提供的参考号并将交易手动发送到新西兰航空公司，并在详细信息中使用 poli 参考号，而不是在 poli 界面中输入我的详细信息。在澳大利亚使用的 B-Bay 就是这样工作的。

使用 poli 后我会立即更改您的

关键不是POLi系统的安全性，而是使用它是否会使所有或部分银行的网上银行服务条款失效。一些银行表示确实如此，因此也使他们的在线欺诈赔偿保证无效。很难让法院推翻银行对其自身条款和条件的解释，因此对 POLi 的所有和任何安全问题的最终答案是“买者自负”。

我对他们方法的安全性有我自己的技术观点，但就像所有这些评估一样，它在操作上是无关紧要的。

这些声明在很大程度上是对自己的恶意，因为它们完全忽略了整个互联网平台的固有安全风险。这些声明忽略了 POLi 体验的真实性和 POLi 系统中明显的安全流程（我在其他文章中指出，任何银行都可以随时对其进行审计）。这些理论论点不时被抛出，但没有任何证据表明 POLi 造成了任何问题。贡献者忽略了必须权衡便利性的所有支付形式（甚至现金）的风险。从现有证据看来，POLi 是一个比计划系统（即银行自己提供的信用卡/借记卡）更安全的系统。