编程合规风控的5大技术盲区

　　去年四月十二号凌晨三点二十，我盯着主从库同步延迟图表上那根直挺挺戳破天际的红线，手还悬在键盘上没敲下第四个 `tail -f`。值班室泡面桶歪在显示器旁边，汤底结了层油膜——这玩意儿比我的耐心还难刮。

　　十一点半就听见机房空调嘶嘶漏气，像条被踩住脖子的蛇。我没理。谁家机房不喘？可凌晨两点十七分，监控屏右下角突然飘出一行灰字：“disk_full_alert: /var/log/audit”，字体小得像蚊子腿，还被前年贴上去的胶布遮掉半个“d”。我扯胶布时指甲劈了，血珠蹭在屏幕上，和告警字一起反光。

　　我原以为是日志轮转脚本又抽风，结果 `df -h` 扫出来 `/` 分区98%，`/var/log/audit` 单独占了23G。不是日志——是审计中间件往里狂塞JSON，每笔风控调用塞12KB，带完整堆栈、HTTP头、脱敏失败的手机号字段……它把加密失败的明文手机号全记进磁盘，还加个`"is_masked": true`。运维同事老张蹲在机柜后说：“这玩意儿上线时，开发说‘合规必填字段’。”我说：“填你妈。”他抬头笑了，牙上还沾着芝麻酱。

　　更绝的是备份。我们有三套备份：每日全量、每小时增量、每分钟binlog。可那天凌晨一点零五分，备份脚本卡在`mysqldump --single-transaction`上不动了——锁表检测没关，而主库正在跑一条47秒的UPDATE。脚本等锁超时，默默退出，连日志都不写。备份目录里最新文件时间戳停在四月十一号下午六点二十三分。我翻`/var/log/cron`时，发现最后一行是：“Apr 11 18:23:02 cron[1298] CRON (root) CMD (backup.sh > /dev/null 2>&1)”。干干净净，像个守法公民。

文章配图，仅供参考

　　证书过期那事儿更滑稽。我们证书监控告警一直开着，但阈值设成“剩余15天”。四月九号早上八点，证书只剩14天23小时58分，告警响了。值班的实习生小王点了静音——他说“上次也是虚惊一场”。四月十二号零点，证书真过期了，HTTPS握手直接失败。老板在大群里发了个红色感叹号，下面跟帖全是“重启nginx”“reload config”。没人想起要换证书链。我重签完证书，curl测试通了，顺手看一眼历史请求日志：过去三天，`/api/v3/risk/evaluate` 接口返回502错误的峰值，出现在证书到期前17分钟——那时候证书链里的根证书已经不被Android 8以下设备信任了，而我们风控SDK默认最低支持Android 6。这锅算谁的？

　　最要命的是CC攻击。四月十一号晚上九点，突然来了一波12Gbps流量，源IP全走香港中转机房。WAF策略写着“QPS>5000则限流”，可它只拦应用层——而这次攻击是SYN洪泛。WAF后面那台Nginx，conntrack表早满了。我们有个“高可用”负载均衡，健康检查探针打的是`/healthz`，而这个端点居然依赖同一个数据库连接池……DB一堵，`/healthz`全挂，SLB把所有机器标成down。整站黑了四十三分钟。小王在群里说：“要不要手动改权重？”老张叼着烟说：“改啥？现在权重是-1。”

　　其实我上周搬家，打包箱上还贴着“风控合规白皮书V2.3”的打印纸。抬箱子时纸边割了手。老婆在厨房喊：“快递员问你新地址要不要改！”我没回头，说：“先放那儿。”结果那本书到现在还躺在纸箱最底下，封皮朝下，压着两盒过期的抗过敏药。

　　这五个盲区，根本不是技术问题。是人对着“合规”俩字下跪，膝盖一软，代码就变形。审计字段必须打满；备份必须“跑完”才算数；DNS必须“权威”才算对；证书必须“绿锁”才安心；防护策略必须“覆盖全部攻击类型”才叫闭环……可系统它不读条款啊。它只认IO队列、conntrack哈希桶、TCP窗口大小、inotify事件队列长度。去年我们给三个银行做风控改造，两个项目上线即崩，一个靠人工半夜定时清空`/var/log/audit`续命三个月。优胜劣汰？淘汰的不是代码，是那些以为写满checklist就能活着下班的人。

　　我到现在也没想明白，为啥`/var/log/audit`默认路径不在单独挂载分区。问过三次，开发回我：“这样方便日志采集。”——采集到哪儿去了？采到`/`分区爆掉的那一刻，还是采到合规报告PPT第十七页的饼图里？

　　明天先把告警阈值调了。`disk_full_alert` 改成85%；`/var/log/audit` 加个硬链接保护，满80%自动切到`/tmp`；再让老张去把机柜后面那个嗡嗡响的旧空调模块卸下来——它漏的不是氟利昂，是我们最后一点判断力。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!