资源风控

资源风控用于发现和处理实例级资源滥用、安全风险和长期异常占用。它只给实例评分，账号只作为实例归属对象参与下单限制、通知和工单审核。

风控对象

对象	说明
实例	风险评分、QoS 降档、人工封禁和风险事件的主对象。
账号	通过实例关联；高风险实例可以触发账号下单限制，但评分不直接给账号。
风险事件	记录持续带宽、CPU 占用、包速率、扫描嫌疑、人工操作和自动处理结果。
下单限制	阻止关联账号继续创建新实例，通常要求通过工单人工审核解除。

检测能力

资源风控结合 Incus / Agent 采集结果和后台策略判断：

• 持续带宽占用。
• CPU 长期高占用。
• PPS 和包量异常。
• 小包扫描嫌疑。
• QoS 降档触发记录。
• 实例状态、封禁状态和人工处理状态。

默认策略会保守处理，自动封禁默认关闭，避免首次启用时因误判影响正常客户。运营方可以在后台调整 QoS 档位、触发分数和自动处理策略。

QoS 档位

QoS 档位使用结构化表单维护，不使用 CSV 文本框。每一行包含：

• 档位等级。
• 限速带宽 Mbps。
• 触发分数。

当实例风险分数达到对应阈值时，系统可以将实例带宽降到对应档位。QoS 降档是实例级处理，不会直接改套餐价格或账单。

人工操作

后台 /admin/resource-risk 支持人工介入：

• 手动限制实例带宽。
• 手动封禁实例。
• 解除实例封禁。
• 对关联账号发起下单限制。
• 解除当前实例触发的下单限制。

所有人工操作都通过专用处置弹窗完成，不再使用浏览器原生输入框。弹窗会展示处置对象、限速值、是否同步限单、是否通知用户、操作原因和二次确认。高风险操作不会绕过内部实例状态机、权限检查和审计链路，并会写入资源风控事件和后台审计。处置弹窗内置原因模板，覆盖限速、封禁、解除封禁、限单和解除限单等场景；管理员仍可编辑模板内容，最终写入审计的是提交时的完整原因。

证据详情与复盘

实例风险列表提供“证据”入口。管理员可以打开当前实例的证据抽屉，集中查看：

• 当前评分、风险等级、处置状态和当前限速。
• 当前证据快照，包括最近一次评分使用的触发指标和处置结果。
• 最近 24 小时按小时聚合的趋势，以及最近 7 天按天聚合的趋势。
• 最近 48 条资源样本，覆盖带宽、PPS、CPU、流量增量和采集来源。
• 最近 30 条风险事件时间线，包含分数变化、事件消息和事件证据。
• 最近 30 条资源风控审计日志，包含操作人、动作、结果和审计内容。
• 当前实例作为来源触发的下单限制记录。

趋势数据包含平均/峰值带宽、平均/峰值 PPS、平均/峰值 CPU 和流量增量，用于判断异常是瞬时峰值还是持续占用。证据详情支持导出 JSON，便于线下复盘、误判审核或长期异常占用调查。导出内容来自管理员证据接口，不新增用户端 API。证据详情只开放给管理员。普通用户不能通过用户端 API 读取实例风险证据、审计日志、其他账号限单记录或后台策略。

下单限制边界

下单限制按账号生效，但后台处理必须保留来源实例边界：

• 如果当前实例触发了 active 下单限制，实例行显示“解除限单”。
• 如果同账号其他实例触发了 active 下单限制，实例行显示“账号已限单”，不能在当前实例上解除。
• 解除限单只释放当前来源实例创建的 active 限制记录。
• 解除后会影响账号整体能否下单，因此后台必须通过来源实例和审计记录说明原因。

这个设计避免同一用户多个风险实例时，每一行都错误显示可解除同一个账号限制。

分页与运营列表

资源风控中心的主要列表固定每页最多 10 条：

• 风险实例。
• 风险事件。
• 下单限制记录。

当管理员解除封禁或解除限单导致当前页为空时，页面会自动回到最后一个有效页，避免停留在空页误判为没有记录。

用户侧影响

资源风控只对实例和实例关联账号产生业务影响：

• 实例可能被 QoS 降档、暂停或人工封禁。
• 账号可能因为高风险实例被暂停创建新实例。
• 用户需要通过工单说明用途并等待人工审核解除限单。
• 普通用户不能看到后台评分策略、内部备注、其他账号限制或风险事件详情。

关键后端模块

• resource-risk：后台策略、实例风险列表、事件列表、限单处理和人工操作接口。
• resource-risk-service：风险评分、自动处理、QoS 和限单服务逻辑。
• traffic：实例流量和包量采集入口。
• instances：实例状态、封禁状态和生命周期动作。
• tickets：限单后的人工审核沟通入口。

风险点

• 自动封禁和自动限单必须谨慎开启，生产前需要观察真实业务流量。
• CPU、带宽和 PPS 指标要结合套餐、节点容量和用户用途判断，不能只看单点峰值。
• 账号下单限制会影响该账号所有新购实例，解除时必须确认来源实例和审核结论。
• 风控备注、评分策略和人工处理记录必须保持 admin-only。
• QoS 降档不能绕过实例带宽恢复、套餐升级或账单状态机。

验证清单

• 后台资源风控页能分页查看风险实例、事件和限单记录。
• 后台资源风控页能打开实例证据详情，查看当前证据、24 小时/7 天趋势、最近样本、风险事件时间线、处置审计和关联限单，并导出 JSON。
• 同账号多个风险实例时，只有来源实例显示“解除限单”，其他实例显示“账号已限单”。
• 手动限速、封禁、解除封禁、限单、解除限单都必须通过处置弹窗填写原因、可套用原因模板、勾选二次确认并写入审计。
• 解除限单后列表能刷新到有效页。
• 普通用户不能通过用户端 API 读取风控策略、人工备注或其他账号限制。
• 被限单账号创建新实例时被阻止，并能通过工单走人工审核。