3. 反欺诈图谱数据准备：用户设备、IP、手机号、交易等实体关系抽取与特征工程

反欺诈图谱的构建质量直接决定 GraphSAGE 模型的上限。本节聚焦从原始日志到图结构的全流程：实体识别、关系抽取、属性特征工程与图拓扑特征构造。数据源涵盖用户设备指纹、IP 地址、手机号、交易流水等核心反欺诈字段。

3.1 实体定义与抽取

在反欺诈场景中，实体（Node）是图谱的基本单元。每个实体需具备唯一标识（ID）和类型标签。以下为常见实体类型及其抽取逻辑：

3.2 关系抽取与边构建

关系（Edge）定义了实体之间的交互行为。在反欺诈图谱中，关系通常带有时间戳、频次、金额等属性。以下为关键关系类型及其抽取规则：

• 用户 → 设备：登录/操作日志中 user_id 与 device_fingerprint 的绑定关系。边属性：首次绑定时间、最近绑定时间、绑定次数。
• 用户 → IP：每次请求的源 IP。边属性：IP 归属地（国家/城市）、ISP、使用时段分布。
• 用户 → 手机号：注册或修改手机号记录。边属性：绑定时间、是否主手机号。
• 用户 → 交易：用户发起的每笔交易。边属性：交易金额、交易类型（转账/消费/提现）、交易时间、交易状态。
• 设备 → IP：设备通过某个 IP 发起请求。边属性：首次出现时间、累计请求次数。
• 手机号 → 交易：手机号作为交易验证或通知渠道。边属性：验证成功/失败次数。

3.3 实体属性特征工程

实体特征分为静态属性（如注册时间）和动态统计属性（如过去 24 小时登录次数）。以下为各实体的典型特征工程清单：

3.4 图拓扑特征构造

GraphSAGE 模型不仅依赖节点自身属性，更依赖邻居结构信息。以下为在特征工程阶段可预先计算的拓扑特征：

• 节点度（Degree）：每个实体的直接邻居数量。例如，一个设备关联了 50 个用户，则其度数为 50。高度数设备可能是共享设备或代理节点。
• 局部聚类系数（Local Clustering Coefficient）：衡量节点邻居之间的连接紧密程度。欺诈团伙中节点往往形成高密度子图。
• PageRank 值：通过迭代计算节点在图中的重要性。高风险节点通常具有异常的 PageRank 分布。
• K-core 值：节点所属的最大 k-core 层级。欺诈团伙核心成员通常位于高 k-core 区域。
• 邻居异质性（Neighbor Heterogeneity）：节点邻居的类型分布熵。例如，一个用户同时关联多个设备、多个 IP 和多个手机号，异质性高，可能为异常。

3.5 数据准备流程总览

以下 SVG 图展示了从原始日志到 GraphSAGE 输入特征的完整数据准备流水线：

3.6 特征存储与版本管理

完成特征工程后，需将特征数据组织为 GraphSAGE 可消费的格式。推荐使用以下存储方案：

3.7 数据质量校验

在数据进入模型之前，必须通过以下质量检查：

• 完整性检查：节点 ID 无空值，边表无悬挂边（即边引用的节点 ID 在节点表中存在）。
• 唯一性检查：同一实体类型下无重复 ID。
• 时效性检查：边的时间戳在合理时间范围内（如不早于 1970 年，不晚于当前时间 + 1 小时）。
• 分布检查：数值型特征无异常离群值（如交易金额为负数），类别型特征无未注册类别。
• 图连通性检查：孤立节点（无边连接）占比不应超过 5%，否则需排查数据源是否遗漏关系。