图数据构建：节点与边的定义、关系抽取、图数据库选型

好，咱们进入第二章。上一章我们聊了为什么团伙欺诈要用图来做，这一章就动真格的了——怎么把原始数据变成图。

说实话，我在刚接触图数据构建时，踩过不少坑。最典型的一个：把用户ID当节点，交易记录当边，结果图里全是孤立点，根本看不出团伙。后来才明白，节点和边的定义，直接决定了你能挖出什么。

2.1 节点与边的定义——图的核心灵魂

图数据里，节点就是「谁」，边就是「关系」。但具体到反欺诈场景，这个「谁」和「关系」需要仔细设计。

2.1.1 节点定义

我个人习惯把节点分为三类：

• 实体节点：用户、设备、IP、手机号、银行卡、地址。这些是「人」或「物」的载体。
• 事件节点：登录、注册、交易、申诉。这些是「行为」本身。
• 属性节点：年龄区间、地区、设备型号。这些是「标签」。

举个例子。一个用户注册事件，你可以把「用户」和「注册」都作为节点，然后用边连接。这样就能分析：这个用户注册时用了哪些设备？这些设备还注册过哪些用户？

2.1.2 边定义

边比节点更讲究。我见过很多团队，把所有关系都连成一条边，结果图稠密得像蜘蛛网，算法根本跑不动。

边应该分类型：

• 强关系边：转账、同设备登录、同IP注册。这些关系几乎不可能伪造，是团伙识别的核心。
• 弱关系边：同地址、同WiFi、同浏览器指纹。这些关系可能误伤，但能扩大线索。
• 时序边：带时间戳的关系。比如「A在10:00转账给B」，这个时间信息很重要。

2.2 关系抽取——从原始数据中挖出边

原始数据通常是日志表、交易表、用户表。怎么从中抽取出「边」？

嗯，这里要注意：关系抽取不是简单的「两个字段相等就建边」。你需要考虑业务语义。

2.2.1 显式关系抽取

这种最简单。比如交易表里有「付款人ID」和「收款人ID」，直接建一条「转账」边。再比如登录日志里有「用户ID」和「设备ID」，建一条「登录」边。

# 伪代码示例：从交易表抽取转账关系
for each transaction in transactions:
    source = transaction.payer_id
    target = transaction.payee_id
    edge_type = "transfer"
    edge_weight = transaction.amount
    create_edge(source, target, edge_type, edge_weight)

2.2.2 隐式关系抽取

这才是难点。比如两个用户用了同一个手机号注册，但时间相差半年。这种关系在原始数据里没有直接记录，需要你写逻辑去发现。

我曾经处理过一个案例：团伙成员用同一批手机号注册，但每个手机号只用了1-2天就换。如果只看单条记录，根本发现不了。后来我写了一个滑动窗口，把7天内使用过同一手机号的用户都连起来，团伙就浮出水面了。

2.2.3 关系去重与合并

同一个关系可能从多个数据源抽出来。比如用户A和用户B，既在交易表里有转账记录，又在登录日志里有同设备记录。这时候需要合并。

我的做法是：

• 如果两条边类型相同，保留权重最大的那条。
• 如果类型不同，保留所有类型，但合并为一条「复合边」。

2.3 图数据库选型——Neo4j vs NetworkX

选型这个问题，我经常被问到。其实没有绝对的好坏，看场景。

特性	Neo4j	NetworkX
存储方式	原生图存储，持久化	内存中的Python对象
查询语言	Cypher（声明式）	Python API（命令式）
适合场景	生产环境、大规模图、实时查询	原型验证、小规模图、算法实验
扩展性	支持集群、分片	单机，受内存限制
学习成本	需要学Cypher	会Python就行

我个人习惯是：先用NetworkX做原型。因为调算法方便，改节点、改边都很灵活。等模型稳定了，再迁移到Neo4j做生产部署。

你想想看，如果一开始就用Neo4j，每次改个边权重都要写Cypher，调试效率太低了。

2.3.1 什么时候必须用Neo4j？

• 图数据超过100万节点、500万边
• 需要支持多人同时查询
• 需要持久化存储，不能每次重启都重新建图
• 需要做图遍历、路径分析等复杂查询

2.3.2 什么时候用NetworkX就够了？

• 数据量在10万节点以内
• 只是做算法实验、特征工程
• 不需要持久化，跑完就释放内存

2.4 数据预处理实战——从原始日志到图数据

好，理论说完了，咱们来点实战。假设我们有这样一份原始数据：

# 原始日志示例（简化）
user_id, device_id, ip_address, phone, action, timestamp
U001, D001, 192.168.1.1, 13800001111, login, 2024-01-01 10:00:00
U002, D001, 192.168.1.2, 13800002222, login, 2024-01-01 10:05:00
U003, D002, 192.168.1.1, 13800003333, register, 2024-01-01 10:10:00

我们要把它变成图数据。步骤是这样的：

2.4.1 第一步：节点去重与映射

把所有出现的实体提取出来，去重，分配唯一ID。

# 节点映射表
user_nodes = {"U001": 1, "U002": 2, "U003": 3}
device_nodes = {"D001": 101, "D002": 102}
ip_nodes = {"192.168.1.1": 201, "192.168.1.2": 202}
phone_nodes = {"13800001111": 301, "13800002222": 302, "13800003333": 303}

2.4.2 第二步：关系抽取与建边

根据业务规则，抽取关系。比如：

• 用户-设备：登录关系
• 用户-IP：使用关系
• 用户-手机：绑定关系

# 建边逻辑
edges = []
for row in logs:
    # 用户-设备边
    edges.append((user_nodes[row.user_id], device_nodes[row.device_id], "login", row.timestamp))
    # 用户-IP边
    edges.append((user_nodes[row.user_id], ip_nodes[row.ip_address], "use_ip", row.timestamp))
    # 用户-手机边
    edges.append((user_nodes[row.user_id], phone_nodes[row.phone], "bind_phone", row.timestamp))

2.4.3 第三步：图构建与验证

用NetworkX构建图，然后做一些基本验证：

import networkx as nx

G = nx.Graph()
# 添加节点
for node_id, attrs in all_nodes.items():
    G.add_node(node_id, type=attrs['type'], label=attrs['label'])
# 添加边
for src, dst, rel_type, ts in edges:
    G.add_edge(src, dst, relation=rel_type, timestamp=ts)

# 验证：检查连通性
print("节点数:", G.number_of_nodes())
print("边数:", G.number_of_edges())
print("连通分量数:", nx.number_connected_components(G))

2.5 本章知识体系总览

下面这张图，是我自己总结的图数据构建流程。你看一遍，应该能对整个链路有个全局认识。

这张图把整个流程串起来了。从原始数据出发，经过节点定义、关系抽取、选型、构建、验证，最后输出可用的图数据。每一步都有坑，但只要你按这个流程走，基本不会出大问题。

好了，这一章的内容就到这里。图数据构建是后续所有分析的基础，地基打牢了，上面盖什么楼都稳。

---

公众号:蓝海资料掘金营，微信deep3321