2. 风控网关基础：网关在风控体系中的位置、核心功能与拦截流程
风控网关是风控体系中的“交通警察”与“安检闸机”。它位于业务请求与后端服务之间，是所有流量进入核心业务处理前的最后一道防线。理解网关在风控体系中的位置、核心功能与拦截流程，是设计A/B测试实验的前提。
2.1 网关在风控体系中的位置
在典型的风控架构中，网关处于业务接入层与风控决策层的交汇点。它不直接产生风控规则，而是负责执行规则引擎下发的拦截指令，并将流量特征实时上报。
| 架构层级 | 典型组件 | 核心职责 |
|---|---|---|
| 业务接入层 | Nginx / Kong / APISIX | 协议解析、限流、鉴权 |
| 风控网关层 | 风控网关（本课程焦点） | 特征采集、策略执行、拦截/放行 |
| 风控决策层 | 规则引擎 / 模型服务 | 规则计算、模型打分、策略下发 |
| 数据存储层 | Redis / MySQL / HBase | 名单、事件、特征存储 |
关键认知： 风控网关是策略执行的“最后一公里”。A/B测试的流量切分与策略路由，正是在这一层完成。
2.2 风控网关的核心功能
风控网关并非简单的反向代理，它必须具备以下五项核心能力，才能支撑A/B测试的精细化管控：
- 流量特征采集： 实时解析HTTP请求头、参数、设备指纹、IP、Cookie等，生成标准化的特征事件。
- 策略路由与执行： 根据规则引擎下发的策略ID，匹配对应的拦截逻辑（放行、拒绝、验证码、延迟）。
- A/B流量切分： 支持按用户ID、设备ID、随机百分比等维度，将流量路由到不同的策略版本。
- 结果上报与日志： 将拦截结果、耗时、特征快照异步写入消息队列，供离线分析。
- 降级与熔断： 当风控决策层超时或异常时，网关自动降级为“默认放行”或“默认拦截”，避免雪崩。
设计要点： 在A/B测试场景中，网关的“策略路由”功能必须支持无状态切分，即同一用户在一次实验周期内始终命中同一策略版本，避免用户感知不一致。
2.3 拦截流程详解
一次完整的风控网关拦截流程，通常包含以下7个步骤。理解每一步的耗时与数据流向，是后续设计A/B测试指标的基础。
| 步骤 | 动作 | 关键数据 | 耗时占比 |
|---|---|---|---|
| 1 | 请求接入 | 原始HTTP报文 | < 1% |
| 2 | 特征提取 | 设备指纹、IP、UA、Token | 5% - 10% |
| 3 | 本地缓存匹配 | 黑/白名单、频率计数器 | 2% - 5% |
| 4 | 策略路由（A/B切分） | 实验ID、版本号、分桶标识 | < 1% |
| 5 | 远程决策调用 | 规则引擎返回的决策结果 | 60% - 80% |
| 6 | 拦截动作执行 | 返回403/验证码/放行 | 5% - 10% |
| 7 | 异步日志上报 | 全量特征 + 决策结果 + 耗时 | 后台异步 |
注意： 步骤5（远程决策调用）是性能瓶颈。在A/B测试中，如果实验组引入了新的远程模型调用，必须监控P99耗时是否超过网关设置的超时阈值（通常为200ms - 500ms）。
2.4 拦截决策模型
网关最终对一次请求的拦截决策，是一个多级漏斗模型。每一级都有机会直接终止请求或放行：
- 第一级：本地缓存（毫秒级） — 命中黑名单直接拦截，命中白名单直接放行，不进入后续流程。
- 第二级：A/B策略路由（微秒级） — 根据分桶标识，决定使用哪个版本的策略集。
- 第三级：远程决策（百毫秒级） — 调用规则引擎或模型，返回最终决策。
- 第四级：后处理（毫秒级） — 执行拦截动作（返回错误码、弹出验证码、记录日志）。
实战经验： 在A/B测试中，建议将“本地缓存匹配”作为实验的对照组与实验组的公共前置逻辑，避免缓存命中率差异干扰实验结论。
掌握风控网关的位置、功能与流程，你就具备了设计A/B测试实验方案的基础视角。下一层，我们将深入策略路由的具体实现机制。