一、风控概述：实时风控到底是什么？

大家好，我是老张。做了十几年风控系统，今天咱们聊聊最基础也最关键的问题——实时风控到底是什么。

很多人一听到「风控」，第一反应就是「防刷单」「防薅羊毛」。其实这只是冰山一角。我个人的理解是：实时风控，就是在业务发生的瞬间，判断这次操作是不是「人」干的、是不是「好人」干的。

注意我强调了两个词：「瞬间」和「判断」。为什么？

因为传统风控往往是事后分析——比如第二天跑个报表，发现昨天有100万被刷走了。这叫什么？这叫「亡羊补牢」。实时风控不一样，它要求在100毫秒甚至50毫秒内给出决策：放行、拒绝、还是人工审核。

1.1 风控在业务中的位置

我经常跟团队说一句话：风控不是业务的敌人，而是业务的保镖。

你想想看，一个电商平台，如果没有风控，会发生什么？

• 黑产用脚本批量注册账号，领走所有新人红包
• 盗刷团伙用窃取的信用卡疯狂下单
• 恶意用户批量下单不付款，把库存锁死

这些场景我全遇到过。有一次，一个客户的双十一活动，开场10分钟就被刷走了200万红包。事后复盘发现，风控系统部署在业务系统后面，等风控出结果时，红包已经被领走了。

所以，风控必须嵌入到业务流程中，而不是挂在外面当摆设。具体来说，风控在业务中的位置是这样的：

从这张图你能看到，风控引擎夹在用户请求和业务处理之间。用户发起请求后，先经过风控，风控说「放行」，业务才继续处理。风控说「拒绝」，业务直接返回失败。

嗯，这里要注意：风控不能成为业务的瓶颈。我曾经见过一个系统，风控处理耗时500毫秒，用户点击支付后转圈圈，转化率直接掉了15%。所以实时风控的架构设计，第一要务就是「快」。

1.2 常见风控场景

说完了位置，咱们看看具体场景。我按出现频率排个序：

场景	风险类型	典型特征	我踩过的坑
支付风控	盗刷、洗钱、套现	异地登录、大额交易、频繁更换设备	曾经漏放过一个盗刷团伙，损失30万
登录风控	撞库、暴力破解、账号盗用	IP异常、设备指纹不匹配、登录频率过高	某次活动被撞库攻击，10万账号被盗
营销风控	薅羊毛、刷单、虚假注册	同一IP大量注册、手机号段集中、设备模拟器	双十一被刷走200万红包，教训深刻

1.3 支付风控：最不能出错的场景

支付风控，说白了就是保护用户的钱袋子。我个人的经验是，支付风控的误杀率必须控制在万分之一以下。为什么？因为用户付不了款，第一反应是骂平台，而不是觉得自己被盗了。

常见的支付风险包括：

• 盗刷：黑客拿到用户银行卡信息，在陌生设备上消费
• 套现：用户自己用信用卡虚假交易，套取现金
• 洗钱：通过支付通道把非法资金「洗白」

我记得有一次，一个电商平台上线了「新用户首单立减50」的活动。结果黑产用批量注册的账号，配合盗来的信用卡，一晚上刷了5000单。我们事后分析发现，这些订单的收货地址全是同一个快递柜。

1.4 登录风控：第一道防线

登录是用户进入系统的第一道门。如果登录风控没做好，后面的所有风控都是白搭。

常见的登录攻击方式：

1. 撞库攻击：黑产拿到其他平台泄露的账号密码，批量尝试登录
2. 暴力破解：用脚本不断尝试密码，直到猜对为止
3. 会话劫持：窃取用户的登录凭证，冒充用户操作

我建议在登录环节至少做三件事：

• 设备指纹采集：记录用户设备的唯一标识
• 行为验证码：登录失败超过3次，弹出滑块验证
• 异地登录检测：如果用户上次在北京登录，这次在上海，触发二次验证

你想想看，如果登录环节不做这些，黑产可以轻松拿到你的账号，然后为所欲为。

1.5 营销风控：和黑产斗智斗勇

营销风控是我个人觉得最有意思的场景。因为黑产会想尽一切办法薅羊毛，而我们风控工程师就是「守门员」。

常见的营销风险：

• 虚假注册：用接码平台批量注册账号，领取新人福利
• 刷单：虚假交易骗取平台补贴或返现
• 恶意刷券：用脚本抢优惠券，然后倒卖

我曾经遇到过一个案例：某平台搞「邀请好友得现金」活动。黑产用脚本批量注册了10万个虚假账号，每个账号都邀请自己，一天薅走了50万。我们后来怎么发现的？因为这些账号的注册时间全部集中在凌晨3点到5点，而且IP段高度重合。

1.6 小结：实时风控的核心思维

说了这么多，我想总结三点：

• 实时性：必须在毫秒级完成决策，不能拖业务后腿
• 准确性：既要拦截坏人，又不能误伤好人
• 可解释性：风控拒绝后，要能说清楚为什么拒绝

最后说一句：风控不是一锤子买卖。黑产在进化，你的策略也要跟着进化。我见过太多团队，上线一套规则后就再也不管了，结果三个月后被黑产摸透，损失惨重。

好了，这一章就到这里。下一章咱们聊聊实时风控系统的整体架构设计，我会把我在多个项目中沉淀下来的架构图拿出来分享。

---