4. 架构设计原则

支付风险前置与授权后置处理架构，本质上是在“交易主链路”与“风险决策链路”之间建立一条既独立又协同的通道。前置阶段负责在授权前完成风险识别、规则匹配与决策输出，后置阶段负责在授权结果返回后完成补处理、对账、补偿与状态收敛。要让这条通道在双十一级别的流量下依然稳定，架构设计必须同时满足六项原则：高内聚低耦合、可扩展性、实时性、准确性、可观测性、容错与降级。它们不是并列的口号，而是相互约束、彼此制衡的设计约束集。

一、核心原理：六项原则的约束关系

高内聚低耦合是结构基础。风险前置模块应把“规则加载、特征计算、决策执行”封装在同一个限界上下文内，对外只暴露决策接口；授权后置模块则把“结果订阅、状态机推进、补偿触发”收敛在自身边界内。两者通过事件或消息解耦，而不是通过数据库表直接读写。可扩展性要求决策节点、规则引擎、特征源都能水平扩展，新增一条风控规则或接入一个新的特征服务，不应改动主交易链路代码。实时性要求前置决策在毫秒级返回，通常需要设定明确的超时预算，例如 80ms 内必须给出“通过/拒绝/挑战”结论。准确性要求前置与后置的状态最终一致，不能出现前置拒绝但后置仍扣款、或前置通过但后置漏记的情况。可观测性要求每个决策请求都有唯一 traceId，并记录规则命中、特征耗时、决策结果与后置补偿状态。容错与降级则要求当规则引擎或特征服务不可用时，系统能按预设策略降级，而不是直接拖垮交易。

二、方法流程：从原则到落地配置

把六项原则落到工程实现，需要一套可执行的流程。第一步是划分边界：前置决策服务只负责“授权前风险判断”，后置处理服务只负责“授权后状态收敛”，两者共享同一份决策流水，但不共享运行时状态。第二步是定义接口契约：前置输出决策码、规则版本、特征快照 ID；后置订阅授权结果事件，按决策码与授权结果做匹配。第三步是设置超时与降级策略：前置决策超时后默认走“挑战”或“通过并标记后置复核”，而不是无限等待。第四步是建立可观测性基线：每个请求必须携带 traceId，规则命中、特征耗时、决策结果、后置补偿次数都要落库或上报。第五步是定期复盘：通过对比前置决策与后置实际结果，发现规则误判、特征漂移与补偿遗漏。

以下是一段前置决策超时与降级策略的配置示例，体现了实时性与容错原则的落地方式：

risk:
  pre-decision:
    timeout-ms: 80
    fallback: CHALLENGE
    fallback-on-engine-down: PASS_WITH_POST_REVIEW
    max-feature-wait-ms: 50
  post-process:
    retry:
      max-attempts: 5
      backoff: exponential
      initial-interval-ms: 200
    compensation:
      enabled: true
      topic: risk-post-compensation
  observability:
    trace-id-header: X-Trace-Id
    metrics:
      - risk_pre_decision_latency
      - risk_rule_hit_count
      - risk_post_compensation_total

三、案例/场景：大促期间的降级与补偿

某支付平台在双十一零点峰值时，特征服务因下游缓存击穿导致响应时间从 20ms 飙升到 300ms。前置决策服务在 80ms 超时预算内无法拿到完整特征，于是按配置触发降级：对低风险商户直接放行并打上“后置复核”标记，对高风险商户返回“挑战”。授权后置处理服务在收到授权成功事件后，扫描到“后置复核”标记，异步拉取延迟特征并重新评估。若重新评估为高风险，则触发补偿流程：冻结资金、通知商户、生成人工审核工单。整个过程交易主链路未阻塞，风险敞口被控制在可接受范围内。这个案例说明，实时性不是“永远快”，而是在超时预算内给出确定性行为；容错与降级也不是“放弃风控”，而是把决策后移并保留补偿能力。

四、误区/复盘：常见设计陷阱

六项原则之间需要权衡。过度追求实时性可能牺牲准确性，过度追求可扩展性可能增加耦合复杂度。架构设计的核心不是把每项原则做到极致，而是在业务风险容忍度内找到平衡点，并通过可观测性持续验证这个平衡点是否仍然成立。