流量是互联网企业的核心命脉，每家互联网公司都在为流量抓头挠腮，流量低了，想着如何营销吸粉。流量多了，想的是如何进行流量限制。特别是对于阿里、腾讯大厂而言，每年中总有那么几天是流量奇高无比。那么限流策略，就是解决高并发问题的工具。解决高并发的方法中，我们还可以得到思路来做反欺诈策略，本文我们来谈谈这些内容。

常规的互联网中的大流量，对应分别有：TPS（每秒事务量），QPS（每秒请求量），那高并发的三种解决策略就有：

第一种是排序策略，比如在流量中，会有一个流量排序的权重，对于优质用户可以通过，对于普通用户做降级，这个排序就可以降级掉许多大量普通用户，让有权重较高的用户优先通过；

第二种解决思路，先让数据进入缓存，不让直接大量地访问数据资源；

第三种限流是保证在一定时间内服务能够处理一定的请求数量，防止大流量出现；

基于以上的方案，对应的限流的方法有令牌、计数器、漏桶；

令牌算法：

令牌桶算法则是一个存放固定容量令牌的桶，按照固定速率往桶里添加令牌。桶中存放的令牌数有最大上限，超出之后就被丢弃或者拒绝。当流量或者网络请求到达时，每个请求都要获取一个令牌，如果能够获取到，则直接处理，并且令牌桶删除一个令牌。如果获取不同，该请求就要被限流，要么直接丢弃，要么在缓冲区等待。

计数器算法：

一种比较简单的限流算法，用途比较广泛。这个方法的缺陷在于临界界点爆发的多个请求，如1分钟限流1000，在0秒到55秒无请求，56秒出现1000个请求，短时间内大量请求，系统可能还是会崩溃。

该方法可以总结为单位时间内，计数统计，与系统设定数值进行比较，到了时间点，将会进行计数器清0。

漏桶算法：

就像一个漏斗一样，进来的水量就好像访问流量一样，而出去的水量就像是我们的系统处理请求一样。当访问流量过大时，这个漏斗中就会积水，如果水太多了就会溢出。

结合本人之前的接触到的信用卡进件场景中的流量监控情况，再给大家介绍上述第二个场景中相关的计数器内容：

信用卡恶意攻击的案例说明：

在信用卡进件场景中实际业务中，我们看到某一天的营销中，有一个居高的进件量：

在前面的流量分析中，我们可以看到循环渐进的进件量，在产品的初期的展业跟营销中，数据是有在攀升的，这中间是有我们营销的努力及市场 的正常反馈。但在2019年的6月中旬的某一天，我们看到流量剧烈升高，这一天的流量计数，引起风控部门的重点关注。在随后的欺诈案件调查中，我们也核查到相关的核查案件，有客户答复是有人将链接发布到网络论坛，不少用户甚至声称不知道点击的链接为信用卡申请链接。复核在这一天中，所对应的客群中80%的用户，其命中规则中也相当多地命中了欺诈名单。对于此批客群，风控部门建议拒绝。

风控就是零和博弈，对于黑产是零容忍，漏洞较多的时候，黑产可以肆无忌惮获得收益，当整个风控严起来后，黑产的投入产出比逐渐下滑，当达到临界点后，黑产收益是亏损，此时漏洞就完全被堵住了。

关于反欺诈相关内容，更多资料可以参考番茄风控中反欺诈模块内容。

原创文章

...

end