2. 支付业务基础
做支付反欺诈，第一步不是看模型，而是看懂钱是怎么动的。欺诈分子利用的往往不是算法漏洞，而是业务规则、通道差异和清结算时间差。本章把支付业务拆成四块：支付通道、交易生命周期、清结算流程、常见支付方式与术语，为后续风控规则和特征工程打地基。
一、支付通道：钱从用户到商户的“管道”
支付通道是连接用户资金账户与商户收款账户的清算路径。它决定了交易能否成功、多久到账、能否退款、争议如何处理。常见通道可分为三类：
- 银行直连通道：商户或支付机构直接对接银行，成本低、可控性强，但接入和维护成本高，适合大额、对公场景。
- 第三方支付通道：如支付宝、微信支付、银联商务等，覆盖广、体验好，但费率较高，且受平台规则约束。
- 聚合支付通道：聚合多个第三方或银行通道，统一对外提供接口，便于路由和容灾，但链路更长，对账更复杂。
通道选择直接影响风控策略。例如，银行卡直连可获取更完整的卡 Bin 和发卡行信息，适合做卡属性校验；而聚合通道返回字段有限，需要依赖商户侧埋点和设备指纹补全。反欺诈系统通常需要维护一张“通道能力表”，记录每个通道支持的交易类型、退款时效、是否支持异步通知、是否返回风险评分等。
二、交易生命周期：一笔支付从生到死
支付交易不是一次请求，而是一个有状态的生命周期。典型状态包括：
- 创建：商户系统生成支付单，记录订单号、金额、币种、用户 ID、商品信息。
- 支付中：用户选择支付方式，跳转或调起支付通道，通道返回“处理中”。
- 成功/失败：通道异步通知或同步返回最终结果。成功即进入清算，失败则关闭订单。
- 退款：用户或商户发起退款，生成退款单，原路返回或退至余额。
- 关闭/超时：未支付订单超时关闭，释放库存和优惠券。
反欺诈的关键介入点集中在“创建”到“成功”之间。欺诈者常利用状态不一致：例如在支付中状态反复发起请求，或利用异步通知延迟进行“一单多付”。因此，风控系统必须监听交易状态机，对异常状态跃迁实时告警。
交易状态机示例：
CREATED -> PAYING -> SUCCESS -> REFUNDING -> REFUNDED
CREATED -> PAYING -> FAILED
CREATED -> CLOSED (超时)
PAYING -> PAYING (重复请求，需幂等)
三、清结算流程：资金最终如何落袋
清结算常被混用，实际是两个阶段：清算是计算应收应付，结算是实际资金划拨。以银行卡收单为例：
| 阶段 | 参与方 | 核心动作 | 时间窗口 |
|---|---|---|---|
| 交易授权 | 商户、收单机构、发卡行 | 验证卡号、余额、风控 | 实时 |
| 清算 | 清算机构、收单机构、发卡行 | 计算手续费、净额 | T+0 或 T+1 |
| 结算 | 收单机构、商户 | 资金划拨到商户账户 | T+1 或 T+N |
| 对账 | 商户、支付机构、银行 | 核对交易明细与资金流水 | 每日 |
清结算的时间差是欺诈高发区。例如，T+1 结算意味着欺诈者可以在结算前发起退款或拒付，导致商户资金损失。风控系统需要结合结算周期设置“延迟结算”或“保证金”策略，对高风险商户或交易暂缓结算。
四、常见支付方式与关键业务术语
不同支付方式的风险特征差异很大：
- 银行卡支付：无卡交易（CNP）欺诈率高，需重点校验 CVV、AVS、3DS。
- 扫码支付：依赖二维码，易被替换或截屏，需校验商户码和用户码一致性。
- 钱包/余额支付：盗号风险高，需结合登录设备、行为序列。
- 代扣/协议支付：签约后自动扣款，易被滥用，需监控签约和扣款频率。
- 跨境支付：涉及汇率、合规、时区，欺诈常利用跨境退款周期长。
关键术语清单：
- MCC：商户类别码，用于行业分类和风控阈值。
- CVV/CVN：卡验证值，证明持卡人持有实体卡。
- AVS：地址验证系统，比对账单地址。
- 3DS：3D Secure，发卡行验证持卡人身份。
- 拒付率：拒付笔数/交易笔数，超过阈值会被通道处罚。
- TPV：总支付金额，常用于商户风险评级。
- 掉单：支付成功但商户未收到通知，需主动补单。
五、案例复盘：通道切换引发的误杀
某电商平台在促销期间将部分流量切换到新聚合通道。该通道返回的“发卡行”字段为空，风控规则中“发卡行不在白名单则拒绝”被触发，导致大量正常交易被拒。复盘发现：规则未按通道维度配置，且新通道字段映射未完成。修正方案：建立通道字段映射表，规则中增加“字段缺失时降级处理”，并对新通道先观察后放量。
这个案例说明：支付业务基础不牢，风控规则就会“误伤”。理解通道差异、交易状态、清结算周期和支付方式，才能设计出既安全又不影响转化的反欺诈体系。