答案 0 :(得分：1)
我认为您已通过付款处理回答了您自己的问题。您需要与已通过PCI认证的供应商合作。您的客户将有定期付款这一事实意味着您必须将客户的信用卡号码保存在系统中，这需要PCI认证。
关于访问控制，供应商应该能够提供帮助。我认为您不应该通过网络发送挑战/请求。您需要一台本地的低成本PC才能连接到生物识别或读卡器。
我认为您应该在处理访问控制的PC上维护一个经过身份验证的客户的本地数据库。这是推荐的，因为如果该位置的互联网连接中断，客户仍然可以参加他们的锻炼。使用批处理系统来更新数据库。
更新：进一步思考 - 健身中心将配备一张桌面，员工可以使用几台电脑。在控制器PC上设置一个小的Web应用程序来处理访问。培训员工前往“访问控制站点”来管理访问。您甚至可以在Web应用程序中嵌入IFrame，并将其指向本地访问管理器，使其看起来像是SaaS产品的集成部分。