2. 风控网关基础：请求生命周期与常见策略

风控网关是低延迟系统的第一道防线。理解请求在网关内部的完整生命周期，以及每种策略的触发时机与计算开销，是设计高性能风控系统的前提。本章从请求的四个核心阶段出发，逐一拆解接入、路由、策略执行与响应的技术细节，并深入分析黑白名单、限流、设备指纹与行为分析四种常见策略的实现原理与延迟特征。

2.1 请求生命周期：四阶段模型

一个风控请求从进入网关到返回结果，通常经历四个阶段。每个阶段都有明确的职责与性能约束，任何阶段的阻塞都会直接增加端到端延迟。

2.2 接入阶段：协议解析与请求校验

接入阶段是请求进入网关的第一道关卡。低延迟风控网关通常采用 事件驱动 + 零拷贝 的架构来减少协议解析开销。核心操作包括：

• 协议解析： 支持 HTTP/1.1、HTTP/2、gRPC 及自定义 TCP 协议。HTTP/2 的多路复用特性可减少连接建立开销。
• TLS 卸载： 使用硬件加速卡或内核旁路技术（如 DPDK）将 TLS 握手与加解密卸载到专用硬件，避免阻塞业务线程。
• 请求校验： 校验请求头完整性、签名有效性、时间戳新鲜度。校验失败直接返回 400/403，不进入后续阶段。

// 接入阶段伪代码示例：请求校验
boolean validateRequest(Request req) {
    if (!checkTimestamp(req.timestamp, 5000)) { // 5秒窗口
        return false; // 请求过期
    }
    if (!verifySignature(req.body, req.signature, req.secretId)) {
        return false; // 签名不匹配
    }
    return true;
}

2.3 路由阶段：特征分发与租户隔离

路由阶段根据请求中的关键特征（如用户 ID、设备 ID、租户 ID）将请求分发到对应的策略链。路由策略直接影响后续策略执行的并行度与资源隔离效果。

2.4 策略执行阶段：四种常见策略

策略执行阶段是风控网关的核心，也是回放对比学习的主要分析对象。以下四种策略覆盖了 90% 以上的风控场景。

2.4.1 黑白名单

黑白名单是最简单、延迟最低的策略。通常使用 Bloom Filter 或 Hash Set 存储在本地内存中，匹配时间复杂度为 O(1)。

• 黑名单： 命中直接拒绝，返回 403。适用于已知恶意 IP、设备、账号。
• 白名单： 命中直接放行，跳过后续所有策略。适用于内部系统、测试账号、高信誉用户。
• 更新机制： 通过发布/订阅通道（如 Redis Pub/Sub 或 gRPC stream）增量更新，避免全量加载。

// 黑白名单匹配示例
boolean checkBlacklist(String key) {
    return bloomFilter.mightContain(key); // 假阳性率 < 0.1%
}

boolean checkWhitelist(String key) {
    return whitelistSet.contains(key); // 精确匹配
}

2.4.2 限流

限流用于控制单位时间内的请求量，防止系统过载。常见的限流算法包括：

2.4.3 设备指纹

设备指纹通过采集客户端硬件、软件、网络等多维信息，生成唯一标识。设备指纹查询是策略执行阶段的主要延迟来源之一。

• 采集维度： 屏幕分辨率、操作系统版本、浏览器指纹（Canvas/WebGL）、时区、语言、安装字体列表。
• 存储与查询： 使用本地缓存（如 Caffeine）配合远程存储（如 Redis Cluster）。缓存命中时延迟 < 50μs，未命中时延迟可达 1-3ms。
• 回放对比价值： 设备指纹查询的缓存命中率是回放对比学习的关键指标。通过对比正常流量与攻击流量的缓存行为，可以发现指纹欺骗或爬虫的规律。

// 设备指纹查询示例（含缓存）
DeviceFingerprint getFingerprint(String deviceId) {
    DeviceFingerprint fp = localCache.getIfPresent(deviceId);
    if (fp != null) {
        return fp; // 缓存命中，低延迟
    }
    fp = remoteStore.get(deviceId); // 缓存未命中，高延迟
    if (fp != null) {
        localCache.put(deviceId, fp);
    }
    return fp;
}

2.4.4 行为分析

行为分析基于用户的历史行为序列，使用规则引擎或轻量级模型判断当前请求是否异常。行为分析是四种策略中计算复杂度最高的。

• 规则引擎： 基于 Drools、EasyRules 等轻量级规则引擎，支持“同一 IP 在 1 秒内请求超过 10 次”等阈值规则。延迟通常在 100-500μs。
• 轻量模型： 使用决策树、逻辑回归或 ONNX 运行时推理。模型体积控制在 1MB 以内，推理延迟 < 2ms。
• 特征工程： 实时计算滑动窗口内的统计特征（均值、方差、熵），特征计算延迟 < 200μs。

2.5 响应阶段：结果封装与日志记录

响应阶段负责将策略执行结果封装为统一格式，并记录审计日志。低延迟网关在此阶段采用 异步日志 + 零拷贝序列化 技术。

• 结果封装： 统一返回格式包含 code、message、requestId、timestamp。使用 Protobuf 或 FlatBuffers 替代 JSON 可减少序列化开销。
• 日志记录： 使用 Ring Buffer 或 Disruptor 实现无锁异步日志，避免日志 I/O 阻塞业务线程。
• 熔断反馈： 当策略执行超时或系统过载时，返回降级响应（如“系统繁忙，请稍后重试”），并触发熔断器打开。

// 响应封装示例（使用 Protobuf）
Response buildResponse(int code, String message, String requestId) {
    return Response.newBuilder()
        .setCode(code)
        .setMessage(message)
        .setRequestId(requestId)
        .setTimestamp(System.currentTimeMillis())
        .build();
}

// 异步日志写入
asyncLogger.log(requestId, code, latencyNanos); // 非阻塞

2.6 回放对比学习的切入点

理解请求生命周期后，回放对比学习可以聚焦以下三个关键维度：

1. 阶段延迟对比： 对比正常流量与攻击流量在各阶段的延迟分布。攻击流量往往在设备指纹查询或行为分析阶段出现异常延迟（如缓存未命中率升高）。
2. 策略命中率对比： 对比黑白名单、限流、设备指纹、行为分析四种策略在正常与攻击流量中的命中率差异。攻击流量通常表现出“黑名单命中率低、行为分析评分异常”的特征。
3. 资源消耗对比： 对比 CPU、内存、网络带宽在两种流量下的消耗模式。攻击流量可能导致限流计数器频繁更新或设备指纹缓存抖动。