📚 课程目录第1章课程导论

1. 课程导论：Flink CEP在实时交易风控中的价值、课程目标与学习路径

1.1 实时交易风控的挑战与Flink CEP的定位

在金融支付、电商交易、账户登录等场景中，欺诈行为正从“单点攻击”演变为“多账户、多设备、多通道的复杂时序攻击”。传统基于规则引擎（如Drools）或离线批处理的风控方案，面临三大核心痛点：

延迟高：批处理窗口通常为分钟级，无法拦截秒级完成的盗刷交易。
状态弱：规则引擎难以表达“A事件发生后3秒内B事件未发生”这类时序依赖。
扩展难：单机规则引擎无法支撑日均亿级事件的吞吐与毫秒级延迟。

Flink CEP（Complex Event Processing）作为Apache Flink的复杂事件处理库，通过有状态流处理与事件时间语义，将风控决策延迟压缩至亚秒级，同时支持多规则组合与动态规则更新。它填补了传统规则引擎与实时计算引擎之间的空白，成为实时交易风控领域的核心基础设施。

  核心价值总结： Flink CEP = 流计算引擎（Flink） + 时序模式匹配（CEP） + 状态管理（State），三者结合使风控系统具备“实时感知、时序推理、状态记忆”三大能力。

1.2 Flink CEP在风控中的典型应用场景

场景	欺诈模式	CEP模式描述	响应要求
盗刷检测	短时间内多笔大额交易	同一用户3分钟内交易金额累计 > 阈值	< 500ms
撞库攻击	同一IP连续登录失败	同一IP 10秒内登录失败次数 > 5	< 200ms
设备指纹异常	同一设备短时间内切换多个账户	同一设备ID 5分钟内关联不同用户数 > 3	< 1s
交易链路欺诈	先小额试探，后大额盗刷	同一用户先发生一笔小额交易（< 10元），随后5分钟内发生大额交易（> 5000元）	< 1s

提示： 上述场景中，Flink CEP的“事件时间”机制能正确处理事件乱序问题，避免因网络延迟导致误判或漏判。

1.3 课程目标与学习路径

本课程旨在帮助学员从零掌握Flink CEP在实时交易风控中的完整落地方法，覆盖原理、开发、调优、运维四个维度。课程共30章，分为四大阶段：

基础篇（第1-8章）：Flink CEP核心概念、Pattern API、时间语义、状态管理。
实战篇（第9-18章）：基于真实交易日志的风控规则开发、多规则组合、动态规则更新。
进阶篇（第19-25章）：CEP性能调优、反压处理、Checkpoint优化、多流Join。
架构篇（第26-30章）：高可用部署、监控告警、灰度发布、生产案例复盘。

学习路径建议：具备基础Java与Flink DataStream API经验者，可直接从第3章开始；零基础学员建议按顺序学习，并完成每章配套的代码练习。

1.4 实时交易风控CEP架构总览

下图展示了基于Flink CEP的实时交易风控系统核心架构，包含数据接入、事件处理、规则匹配、决策输出四个层次：

注意： 实际生产环境中，规则匹配层通常需要支持“热更新”规则，避免因规则变更导致作业重启。本课程第16-18章将专门讲解动态规则实现方案。

1.5 课程核心能力模型

完成本课程后，学员将具备以下关键能力：

能力维度	具体技能	对应章节
模式设计	熟练使用Pattern API定义时序、量词、条件、超时	第3-6章
状态管理	掌握ValueState/MapState在CEP中的使用与优化	第7-8章
规则组合	实现多规则并行匹配、规则优先级、规则依赖	第12-14章
性能调优	解决反压、状态膨胀、Checkpoint超时等问题	第19-22章
生产运维	高可用部署、监控指标、灰度发布、故障恢复	第26-30章

1.6 学习建议与前置准备

推荐学习路径：
1. 先通读本章，建立整体认知。
2. 第2章快速搭建Flink开发环境（建议使用Flink 1.17+）。
3. 每章完成后，运行配套代码并修改参数观察效果。
4. 遇到性能问题优先查阅第19-22章调优指南。

前置知识要求：

Java 8+ 基础语法（Lambda、泛型、Stream API）
Flink DataStream API 基础概念（Source、Transformation、Sink）
Kafka 基础使用（主题创建、消息生产消费）

本课程所有代码均基于 Flink 1.17 与 Java 11 开发，并提供Docker Compose一键启动的测试环境，确保学员可以快速上手实践。