什么是风控与防刷（限流 / 验证码）？

它到底是什么

风控的本质是在正确率与体验之间取舍：拦得太松会被刷，拦得太紧会误伤真实用户。因此风控不是「一刀切拦截」，而是分层处置——低风险放行、中风险加验证、高风险拒绝。

它的对手是有动机、会迭代的。规则一旦被摸清就会失效，所以风控需要持续运营，而不是一次性配置。

怎么运作的

限流：按 IP、账号、设备、接口维度限制频率。单维度容易被绕过，多维度组合更有效。

人机校验：验证码、滑块、行为轨迹检测。目的是提高自动化成本，不是完全阻止。

设备与身份识别：设备指纹识别同一设备的多账号行为；手机号与实名信息校验真实性。

规则与模型：规则处理明确场景（单账号秒级下单多次），模型识别组合特征。两者结合，规则兜底、模型补充。

处置动作：拒绝、二次验证、延迟处理、人工审核。不同风险等级用不同动作，避免一律拒绝造成误伤。

容易混的几个概念

• WAF：防护 Web 攻击（注入、跨站脚本），与业务风控不同。
• 反欺诈：面向交易与身份的欺诈识别，是风控的一部分。
• 限流与熔断：前者限制请求量，后者在故障时快速失败。
• 黑名单：事后封禁手段，滞后于攻击。