1、课程导学：风控场景概述、Flink CEP能解决什么问题、课程目标与前置知识
1.1 风控场景，到底有多「痛」？
做风控这些年，我见过太多「血淋淋」的案例了。
有一次，一个电商平台搞大促，凌晨两点流量突然暴增。运营团队以为是好事，结果一查——是黑产团伙在用脚本刷优惠券。等他们反应过来，已经损失了上百万。为什么会这样？因为传统的规则引擎处理不过来，等规则跑完，钱早被薅光了。
说白了，风控的核心就三个字：快、准、狠。
- 快：毫秒级响应，不能等用户操作完了才拦截
- 准：误杀率要低，不能把正常用户当坏人
- 狠：对确定的恶意行为，要一刀切死
但现实往往很骨感。我见过很多团队用传统数据库+定时任务做风控，结果就是：规则写了一大堆，线上跑不动，误报率还高。你想想看，一个用户正常下单，结果被风控系统误判为盗刷，这体验得多差？
核心痛点总结：
- 数据量大：每天几十亿条事件流，传统数据库扛不住
- 实时性要求高：秒级甚至毫秒级响应，批处理根本来不及
- 规则复杂：不是简单的 if-else，而是多个事件之间的时序关系
- 误报率高：规则写得太死，正常用户被误伤
1.2 Flink CEP 能解决什么问题？
我记得刚接触 Flink CEP 时，第一反应是：这不就是为风控量身定做的吗？
CEP 的全称是 Complex Event Processing，复杂事件处理。它最擅长的就是：从海量无序的事件流中，找出符合特定模式的事件序列。
举个例子，盗刷场景中常见的模式：
用户A在1分钟内：
1. 登录失败3次
2. 然后修改密码
3. 接着在陌生设备上支付
→ 触发风控告警这种「先A后B再C，且有时间限制」的模式，用传统代码写起来非常痛苦。你要维护状态、要处理乱序、要控制超时……但用 Flink CEP，几行代码就搞定了。
我个人习惯把 CEP 解决的问题分为三类：
- 时序匹配：事件A发生后，在指定时间内发生事件B
- 聚合检测：比如1分钟内登录失败超过5次
- 序列排除：事件A发生后，如果发生了事件B，则忽略事件C
嗯，这里要注意：Flink CEP 不是万能的。它擅长处理「有明确模式」的场景，但对于「无监督的异常检测」（比如聚类找离群点），它就不太合适了。那个得用机器学习模型。
1.3 课程目标：学完你能做什么？
这门课的目标很明确：让你能独立设计并实现一个基于 Flink CEP 的实时风控系统。
我曾经带过一个新人，他学完 CEP 基础后，花了两周就把公司原有的风控规则引擎重构了。性能提升了 10 倍，误报率降低了 60%。这不是夸张，CEP 在风控场景下就是这么能打。
| 学习阶段 | 核心能力 | 实战产出 |
|---|---|---|
| 基础篇 | 理解 CEP 核心概念、API 使用 | 能写简单的模式匹配 |
| 进阶篇 | 掌握时间语义、状态管理、容错机制 | 能处理乱序事件、超时场景 |
| 实战篇 | 设计风控规则引擎、集成外部系统 | 完整的实时风控系统 |
| 调优篇 | 性能优化、资源管理、监控告警 | 生产级高可用部署 |
1.4 前置知识：你需要会什么？
说实话，这门课有一定门槛。我不希望你学到一半发现基础跟不上，那体验太差了。
硬性要求：
- 熟悉 Java 或 Scala 基础语法（代码示例以 Java 为主）
- 了解 Flink 的基本概念：DataStream、算子、窗口
- 有基本的 SQL 能力（我们会用到一些维表关联）
软性要求：
- 对风控业务有基本认知（比如什么是盗刷、什么是薅羊毛）
- 愿意动手写代码，光看不练是学不会的
避坑指南： 我曾经见过一个同学，Java 基础很扎实，但完全不懂流处理概念。他学 CEP 时，总是用批处理的思维去理解流处理，结果走了很多弯路。所以我建议你，如果对 Flink 还不熟，先花一周时间跑通官方的 WordCount 示例，理解一下「有状态流处理」是怎么回事。
1.5 知识体系总览
下面这张图，是我梳理的课程知识体系。你可以把它当作一张「地图」，学完一章就回来看看，知道自己现在在哪个位置。
1.6 写在开始之前
这门课我会尽量用「实战驱动」的方式来讲。每一章都会有可运行的代码示例，你跟着敲一遍，比看十遍理论都管用。
我记得自己刚学 CEP 时，踩了不少坑。比如时间语义没搞清楚，导致线上数据对不上；比如状态后端配置不对，内存直接爆了……这些坑我都会在课程里一一指出来，帮你绕过去。
最后说一句：风控是个良心活。你写的每一行代码，都可能关系到用户的资金安全。所以，认真学，认真写。
学习建议：
- 每章学完后，自己动手改改代码，试试不同的参数
- 遇到问题先自己排查，实在不行再问——这样印象最深
- 准备一个笔记本，记录你踩过的坑，这是最宝贵的经验
公众号:蓝海资料掘金营，微信deep3321