这是 Beta 探索课程，内容结构、实验步骤和示例可能会继续调整。
完整架构
完整的风控反作弊系统分成五层：数据采集层、特征层、策略层、决策层、处置与反馈层。每一层解决一个问题：有没有证据、证据如何加工、如何判断风险、如何输出动作、效果如何回流。
分层架构
┌─────────────────────────────────────────────────────────────────┐
│ 数据采集层 │
│ 用户 / 设备 / 网络 / 行为 / 业务事件 → 统一风险事件模型 │
└──────────────────────────────┼───────────────────────────────────┘
▼
┌─────────────────────────────────────────────────────────────────┐
│ 特征层 │
│ 在线特征（实时计数/缓存） 离线特征（行为序列/设备指纹/图谱） │
└──────────────────────────────┼───────────────────────────────────┘
▼
┌─────────────────────────────────────────────────────────────────┐
│ 策略层 │
│ ┌──────────┐ ┌──────────┐ ┌──────────┐ │
│ │ 规则引擎 │ │ 风险模型 │ │ 名单系统 │ │
│ │ 已知模式 │ │ 概率评分 │ │ 黑白灰单 │ │
│ └──────────┘ └──────────┘ └──────────┘ │
└──────────────────────────────┼───────────────────────────────────┘
▼
┌─────────────────────────────────────────────────────────────────┐
│ 决策层 │
│ 合并规则/模型/名单结果 → 输出动作和原因（decision_id） │
└──────────────────────────────┼───────────────────────────────────┘
▼
┌─────────────────────────────────────────────────────────────────┐
│ 处置与反馈层 │
│ 放行 / 验证 / 限速 / 审核 / 拒绝 → 申诉、标注、模型回流 │
└─────────────────────────────────────────────────────────────────┘在线流程
一次业务请求的实时风控链路：
业务请求（注册/登录/领券/下单）
↓
风控服务接收风险事件
↓
读取实时特征（设备关联账号数、IP 频率、用户历史）
↓
白名单保护（可信用户直接放行）
↓
黑名单命中（明确风险快速处置）
↓
规则引擎执行可解释策略
↓
风险模型输出综合风险分
↓
决策引擎合并结果，生成动作
↓
写入决策日志（decision_id 可追踪）离线流程
离线链路负责长期学习：
- 训练和迭代风险模型。
- 分析攻击事件，沉淀规则和名单。
- 评估策略效果（拦截率、误杀率、漏放率）。
- 把申诉和人工审核结果回流成训练标签。
核心数据
| 数据 | 作用 |
|---|---|
| risk_event | 统一风险事件，规则/模型/审计共用 |
| risk_feature | 在线计数特征（Redis）与离线特征 |
| risk_rule | 规则配置、版本、优先级、生效范围 |
| risk_model_score | 模型打分与影子模式记录 |
| risk_list | 黑白灰名单实体、来源、过期时间 |
| risk_decision | 决策动作、命中原因、decision_id |
| risk_feedback | 申诉、标注、复核结果回流 |
高可用与降级
- 风控故障时按场景决定放行或拦截：登录浏览倾向放行，支付提现可转人工或限额。
- 模型服务不可用时仍执行规则和名单。
- 特征服务部分失败时提高风险等级，但不拒绝所有请求。
- 在线链路严格控制延迟预算，复杂计算离线提前完成。
这套架构的关键在于：证据、判断、处置、反馈四个环节闭环，风控能力才能持续进化而不是一次上线。