4. 反欺诈图谱基础：图数据库与实体-关系建模

反欺诈图谱是构建实时、关联性欺诈检测系统的核心基础设施。传统关系型数据库在处理多跳关联（如“A的设备的SIM卡注册过B的账号，B的收货地址与C相同”）时，性能呈指数级下降。图数据库以“节点-关系-属性”的存储模型，天然适配这种高维关联查询，是反欺诈图谱的底层引擎。

4.1 图数据库选型：Neo4j vs JanusGraph

在反欺诈场景中，Neo4j 和 JanusGraph 是两大主流选择。下表从关键维度进行对比：

4.2 实体-关系建模：反欺诈图谱的核心设计

反欺诈图谱的建模遵循“实体即节点，行为即关系”的原则。一个典型的反欺诈图谱包含以下核心实体和关系：

4.2.1 实体（节点）类型

• 用户（User）： 账号ID、注册时间、实名等级、风险标签。
• 设备（Device）： 设备指纹、操作系统、IP地址、MAC地址。
• 手机号（Phone）： 号码、运营商、归属地。
• 银行卡（BankCard）： 卡号BIN、发卡行、绑定时间。
• 订单（Order）： 订单ID、金额、商品类型、支付方式。
• 地址（Address）： 详细地址、经纬度、城市级别。

4.2.2 关系（边）类型

• 注册（REGISTERED_WITH）： 用户→设备/手机号，记录注册时间。
• 登录（LOGGED_IN）： 用户→设备，记录登录时间、IP。
• 绑定（BIND）： 用户→银行卡，记录绑定时间。
• 下单（PLACED_ORDER）： 用户→订单，记录下单时间。
• 收货（SHIPPED_TO）： 订单→地址，记录收货时间。
• 共享（SHARED_WITH）： 设备→设备（通过同一IP或WiFi），记录共享时段。

4.3 图谱在反欺诈中的典型应用

基于实体-关系模型，反欺诈图谱可以高效实现以下典型检测场景：

4.3.1 团伙欺诈识别（社区发现）

通过共享设备、手机号、IP等关系，将看似独立的账号连接成“关联社区”。使用社区发现算法（如Louvain、标签传播）识别异常聚集的团伙。例如：100个账号共享同一台设备，且注册时间集中在凌晨2点-4点，高度疑似“设备农场”批量注册。

4.3.2 多跳关联风险传导

在关系型数据库中，查询“A的设备的SIM卡注册过B的账号，B的收货地址与C相同”需要多次JOIN，性能极差。在图数据库中，一条Cypher查询即可完成：

// 查询与风险用户A存在2跳以内关联的所有实体
MATCH (a:User {id: 'risk_user_A'})-[*1..2]-(connected)
RETURN connected, type(relationships) AS relType
LIMIT 100

4.3.3 时序异常行为检测

结合关系上的时间戳属性，可以检测“短时间内关系激增”的异常。例如：一个手机号在10分钟内绑定了超过5个银行卡，或一个设备在1小时内登录了超过20个账号。这类时序特征可直接输入XGBoost模型。

4.3.4 知识图谱推理与缺失补全

利用图谱的路径模式，可以推理出隐含的风险关系。例如：如果“用户A的设备与用户B的设备共享过同一IP”，且“用户B被标记为欺诈”，则用户A的风险评分应自动上调。这种推理规则可以固化到Spark回放流程中，实现实时风险传导。

4.4 图谱与Spark回放的集成要点

在后续章节的Spark回放实战中，图谱将作为“离线特征工厂”和“实时查询引擎”双重角色出现：

• 离线阶段： Spark批量读取Neo4j图谱，提取每个实体的“邻居特征”（如一度关联风险用户数、二度关联设备数、最近1小时关系频次等），作为XGBoost的训练特征。
• 回放阶段： 模拟实时事件流，每笔交易/登录事件触发图谱查询，获取当前实体的最新关联风险状态，与XGBoost模型评分结合，输出最终决策。
• 增量更新： 使用Spark Structured Streaming消费Kafka事件，实时写入Neo4j（通过REST API或批量导入），保持图谱的时效性。