1) Код авторизации генерирует банк-эмитент карты. Точка.
2) PayPal не полагается на auth code. Потому что auth code банк-эмитент может и не показать клиенту, как справедливо отмечено выше. Это техническая информация, клиенту показываемая на клиентском чеке при операциях на реальных устройствах «про запас», для последующих разборок, а в выписке — как повезет.
3) PayPal сами, когда отправляют запрос тестовой авторизации, кладут сгенеренный PayPal'ом 4-значный код куда-то в поля детализации платежа (называются а-ля «Merchant Name», «Merchant City» и т.д.).
4) В выписке на стороне банка-эмитента та самая короткая строка описания платежа набирается из нескольких полей транзакционного сообщения, и именно так, как устроена выписка у конкретного эмитента. В эту-то сборную строку и должен попасть наш код (если делаем как у PayPal). Радует, что общая логика у разных эмитентов есть, и есть шанс таки увидеть там свой код (поскольку всем заинтересованным сторонам известны форматы обмена, назначения и минимальные длины полей).
5) Поля безбожно режутся еще и по дороге между банками и МПС. Т.е. шанс есть, что Ваш код кто-то по дороге отрежет, когда поле в поле не влезет. Но если например имя мерчанта «РОГА И КОПЫТА» заменить на «31337 РОГА И КОПЫТА», то шанс увидеть «31337 РОГА И КО» в выписке эмитента высок, но как к этому отнесутся все прочие стороны транзакционного обмена — it depends, надо выяснять и проверять.
6) А в итоге, поинтересуйтесь на bankir.ru и/или у того, кто Вам предоставляет услуги эквайринга, куда и как лучше бы это N-значное число положить с гарантией, чтобы его в долгом пути транзакции не порезало нафиг, и чтобы все были довольны.
