风控网关拦截策略回放对比详解 - 第1节
1.1 风控网关的定义
风控网关（Risk Control Gateway）是微服务架构中位于流量入口与业务服务之间的安全中间层，专门负责对进入系统的每一次请求进行实时风险判断与拦截。它不同于传统 API 网关（如 Nginx、Kong）仅做路由与限流，风控网关的核心差异在于：它具备业务语义理解能力，能够基于用户画像、设备指纹、行为序列、黑白名单等多维特征，动态判定请求是否为恶意攻击、欺诈操作或违规行为。
定义要点：风控网关 = 流量代理 + 实时策略引擎 + 审计日志，三者缺一不可。
1.2 在微服务架构中的位置
在典型的微服务部署中，风控网关通常部署在负载均衡器之后、业务服务集群之前，形成一道独立的“安全过滤层”。所有外部请求（Web、App、OpenAPI）必须经过风控网关，才能到达下游业务服务。这种架构设计保证了风控策略的集中管控，避免在每个业务服务中重复实现安全逻辑。
1.3 核心职责
风控网关承担三项核心职责，三者形成闭环：流量过滤 → 策略执行 → 日志审计。下表详细说明每项职责的输入、处理与输出。
| 职责 | 输入 | 处理逻辑 | 输出 |
|---|---|---|---|
| 流量过滤 | HTTP 请求头、参数、IP、设备指纹 | 黑白名单匹配、频率限制、参数校验、协议合规检查 | 放行 / 拒绝 / 降级 |
| 策略执行 | 用户 ID、行为序列、环境特征 | 规则引擎（如 Drools）、模型推理（如 XGBoost）、实时特征计算 | 风险等级（low/medium/high）、处置动作（拦截/验证/放行） |
| 日志审计 | 请求全量数据 + 策略决策结果 | 结构化日志、异步写入、离线归档 | 审计记录、回放数据、报表统计 |
实践提示：流量过滤通常使用 C 语言或 Lua 实现（如 OpenResty），保证高吞吐；策略执行与日志审计则使用 Java/Go 实现，便于集成复杂规则与大数据组件。
1.3.1 流量过滤
流量过滤是风控网关的第一道防线，主要处理高频、低成本的规则判断。典型过滤项包括：
- IP 黑名单：已知攻击 IP 直接拒绝，匹配时间 < 1ms。
- 参数合法性：检测 SQL 注入、XSS 攻击、参数越界。
- 频率控制：单 IP 每秒请求数（QPS）超过阈值则限流。
- 协议合规：检查 HTTP 方法、Content-Type、Token 格式。
1.3.2 策略执行
策略执行是风控网关的核心大脑，负责调用规则引擎或机器学习模型进行深度风险判断。一个典型的策略执行流程如下：
- 特征提取：从请求中提取用户 ID、设备 ID、地理位置、历史行为等特征。
- 规则匹配：按优先级依次匹配静态规则（如“同一设备 24 小时内登录超过 5 个账号”）。
- 模型评分：调用实时模型（如随机森林、深度学习）输出风险分数。
- 决策融合：综合规则结果与模型分数，生成最终处置动作。
1.3.3 日志审计
日志审计是风控网关的“黑匣子”，记录每一次请求的完整链路信息，用于事后追溯、策略回放与合规审计。日志内容通常包含：
- 请求快照：原始 HTTP 请求头、Body（脱敏后）、时间戳。
- 特征快照：提取的所有特征字段及值。
- 决策快照：命中的规则 ID、模型分数、最终处置动作。
- 上下文快照：会话 ID、设备指纹、IP 地理位置。
合规注意：日志审计必须遵循数据保护法规（如 GDPR、个人信息保护法），敏感字段（手机号、身份证）需在写入前进行脱敏或加密处理。建议使用异步批量写入，避免影响网关主流程性能。