📚 课程目录第1章课程导学

1. 课程导学：实时风控背景、Flink CEP价值、课程目标与学习路径

1.1 实时风控：为什么是现在？

传统风控系统基于离线批处理或T+1日终跑批，在交易量爆发、欺诈手段快速演变的今天，已难以满足业务对秒级响应的要求。实时风控的核心诉求是：在交易发生后的毫秒到秒级窗口内，完成规则计算、模型推理与决策输出。

  行业痛点驱动： 2023年某头部支付平台统计，超过60%的欺诈交易在发起后30秒内完成资金转移。若不能在交易进行中实时拦截，事后追回率不足5%。

实时风控的三大技术挑战：

低延迟： 单笔交易处理延迟需控制在100ms以内，端到端决策不超过500ms。
高吞吐： 大型支付平台日均交易量可达数亿笔，峰值TPS超过10万。
复杂事件关联： 欺诈行为往往表现为跨多笔交易、多账户、多设备的事件序列模式，如“短时间内多账户登录同一设备→小额试探→大额转账”。

1.2 Flink CEP：实时风控的核心引擎

Apache Flink的复杂事件处理（CEP）库，提供了在无界数据流上定义和匹配事件模式的声明式API。相比传统规则引擎或自研状态机，Flink CEP具备以下差异化价值：

对比维度	传统规则引擎（如Drools）	自研状态机	Flink CEP
事件时间语义	不支持或需额外实现	需自行处理乱序	原生支持Event Time + Watermark
状态管理	无状态或依赖外部存储	需自行管理状态后端	内置RocksDB/Heap状态后端，自动容错
模式表达能力	有限，难以表达时序序列	灵活但开发量大	支持严格连续、宽松连续、非确定性宽松连续、循环、超时等
扩展性	单机为主	需自研分布式方案	天然分布式，水平扩展
运维成本	低	高	中（需Flink集群运维）

选型建议： 如果团队已有Flink实时数仓基础，且风控规则需要频繁迭代、涉及多事件关联，Flink CEP是当前业界最优解。若仅需简单阈值判断，可考虑轻量级方案。

1.3 实时风控技术架构总览

下图展示了基于Flink CEP的实时风控系统核心架构，涵盖从数据接入到决策输出的完整链路：

1.4 课程目标：从理论到实战

本课程旨在帮助学员掌握使用Flink CEP构建实时风控系统的完整技能栈，具体目标如下：

理解核心概念： 掌握事件、模式、状态、时间语义、CEP算子等Flink CEP基础理论。
掌握开发技能： 熟练使用Flink CEP API编写复杂事件模式，包括循环、超时、组合模式等。
构建风控规则： 能够将真实风控场景（如盗刷、撞库、洗钱）转化为CEP模式定义。
优化与运维： 掌握状态调优、并行度设置、反压处理、监控告警等生产环境必备技能。
完成实战项目： 独立完成一个包含数据接入、模式定义、决策输出、可视化监控的实时风控Demo系统。

1.5 学习路径与章节规划

课程共30章，分为四个阶段，建议按顺序学习：

阶段	章节范围	核心内容	学习时长（建议）
基础篇	第1-8章	Flink基础回顾、CEP概念、Pattern API入门、时间语义与Watermark	2-3天
进阶篇	第9-16章	复杂模式组合、超时机制、状态管理、动态规则更新、多流关联	3-4天
实战篇	第17-24章	风控场景建模（盗刷、撞库、洗钱）、规则引擎集成、性能调优、监控告警	4-5天
项目篇	第25-30章	完整风控系统搭建、数据模拟、可视化看板、压测与部署	3-4天

前置要求： 建议学员具备Java/Scala基础编程能力，了解Flink DataStream API基本用法（如map、filter、keyBy、window）。若对Flink完全陌生，建议先学习Flink入门课程或阅读官方文档前两章。

1.6 一个典型的风控CEP模式示例

在进入正式课程前，先看一个简化的风控CEP模式定义，建立直观印象。该模式检测“同一设备在5分钟内登录超过3个不同账户”的撞库行为：

// 使用Flink CEP Pattern API定义撞库检测模式
Pattern<LoginEvent, LoginEvent> credentialStuffingPattern =
    Pattern.<LoginEvent>begin("first")
        .where(new SimpleCondition<LoginEvent>() {
            @Override
            public boolean filter(LoginEvent event) {
                return event.getStatus().equals("SUCCESS");
            }
        })
        .followedBy("second")
        .where(new IterativeCondition<LoginEvent>() {
            @Override
            public boolean filter(LoginEvent event, Context<LoginEvent> ctx) throws Exception {
                // 检查是否与第一次登录使用同一设备但不同账户
                LoginEvent first = ctx.getEventsForPattern("first").iterator().next();
                return event.getDeviceId().equals(first.getDeviceId())
                    && !event.getUserId().equals(first.getUserId());
            }
        })
        .times(3)  // 至少出现3次不同账户登录
        .within(Time.minutes(5));  // 5分钟内

代码解读： 该模式使用followedBy定义宽松连续（允许中间有其他事件），times(3)表示匹配3次，within(Time.minutes(5))限定时间窗口。后续章节将详细讲解每个API的语义和适用场景。

通过本课程的学习，你将能够独立设计、开发并部署类似上述模式的生产级风控规则，并理解其背后的状态管理、时间语义和性能优化原理。