引言

资损是营销系统运营中的高压线。资损防控与资金安全是营销产品与系统设计、实现、运营的第一原则。本文从系统设计和业务分析两方面，详细阐述营销系统资损防控的理念、规范和实践。

## 第一章资损与资损防控概述 ### 什么是资损

资损定义

- **广义的资损**：任何由于系统故障、缺陷、人为操作、安全漏洞导致公司或用户蒙受直接或间接损失的事件。 - **狭义的资损**：由于公司自身原因，导致公司产生直接资金损失，或产生额外赔付。

### 资损产生的原因营销系统处理大量优惠券、红包、积分等有价资产，以及大量用户触达渠道和活动规则，风险无处不在。常规来说，资损原因主要分为三类： 1. **系统方面的原因**：系统分析、设计与实现处理错误等导致 2. **产品设计运营以及使用方面的原因**：活动规则不完善、操作错误等 3. **信息安全方面的原因**：安全漏洞、黑产攻击等 ### 资损防控资损防控是从资损发生的前、中、后三个阶段做好相关的防、控、管等各项工作： *图：资损防控贯穿事前防、事中控、事后管，三阶段各有侧重*

资损防控三阶段

- **防**：事前预防，从产品与系统设计、实现、运营等方面避免资损发生 - **控**：事中控制，及时监控，发现资损及时止损 - **管**：事后管理，详细复盘分析，避免重复犯错

资损防控全生命周期可用以下流程图表示： ## 第二章系统设计资损防控规范从系统架构层面整体来看，营销系统可以抽象为以下结构: - 面向用户的营销前台系统 - 营销活动管理与运营系统 - 营销资产（优惠券、积分等）管理系统 - 营销规则引擎系统 - 数据库、缓存等存储

资损高危区域

各个结构连接的地方最容易出现资损。我们将从接口服务层面与系统设计层面对资损进行分析并总结相关规范。

### 一、服务接口类设计规范按照系统抽象架构，营销系统接口服务可以分为三类： *图：三类接口资损风险各异——前端防并发超发、运营防配置误操作、内部防权限滥用* #### 1.1 面向前端类服务 ##### 1.1.1 常见资损风险

面向前端服务风险项

1. **用户领取校验不严格** 2. **营销资产发放频率限制不合理** 3. **活动规则漏洞** 4. **并发请求导致超发** 5. **活动时间控制不精确** 6. **参数校验不严格** 7. **安全校验绕过** 8. **核销幂等性控制不严**

##### 1.1.2 面向前端服务使用规范 |风险点|使用规范| |---|---| |**用户资格校验**|1. 严格校验用户领取资格
2. 校验用户是否在黑名单
3. 检查用户历史行为是否合规
4. 实施风控策略| |**发放频率控制**|1. 设置单用户领取上限
2. 设置时间窗口内领取频率
3. 设置IP级别限制| |**活动规则设计**|1. 活动规则需进行全面测试
2. 考虑各种边界条件
3. 防止规则组合导致的过度优惠| |**并发控制**|1. 实施库存锁定机制
2. 批量操作实施事务
3. 限流防止突发流量| |**时间控制**|1. 统一使用服务器时间
2. 活动开始和结束增加缓冲区
3. 避免跨时区问题| |**参数校验**|1. 严格校验所有输入参数
2. 防止参数注入
3. 检查请求来源合法性| #### 1.2 面向运营类服务 ##### 1.2.1 常见资损风险

运营服务风险项

1. **营销活动配置错误** 2. **营销资产批量操作无审批** 3. **权限控制不严格** 4. **运营操作缺少验证和预览** 5. **无限制发券** 6. **缺少操作日志**

##### 1.2.2 面向运营服务设计规范 |风险点|设计规范| |---|---| |**活动配置**|1. 活动配置必须经过预览和确认
2. 高价值活动需多人审核
3. 活动配置变更需记录完整日志| |**批量操作**|1. 大规模操作需要审批流程
2. 设置批量操作的数量和金额限制
3. 提供操作预览功能| |**权限控制**|1. 实施严格的角色权限控制
2. 敏感操作需要二次验证
3. 关键操作需多人授权| |**验证预览**|1. 提供活动效果预览
2. 提供成本预估
3. 提供受众范围验证| |**发券控制**|1. 设置各级别发券金额限制
2. 设置单用户最大获取额度
3. 实时监控异常发券行为| |**操作日志**|1. 记录所有关键操作
2. 记录操作人、时间、内容
3. 敏感操作需记录操作理由| #### 1.3 内部系统接口服务 ##### 1.3.1 常见资损风险

内部接口风险项

1. **接口权限控制不严格** 2. **缺少请求频率限制** 3. **参数校验不完善** 4. **缺少幂等控制** 5. **返回码定义不明确** 6. **依赖不可靠的消息通知** 7. **兼容性考虑不全面** 8. **接口滥用**

##### 1.3.2 内部服务接口设计规范 |风险点|设计规范| |---|---| |**接口权限**|详细定义调用方权限，严格验证权限范围| |**请求频率**|设置接口调用频率限制，防止滥用| |**参数校验**|全面校验参数合法性，包括业务逻辑校验| |**幂等控制**|必须说明幂等参数，防止重复操作| |**消息通知**|不仅依赖消息，增加监控与手工触发功能| |**接口设计**|明确接口功能、参数定义与异常处理| |**兼容性**|确保接口向前向后兼容，考虑发布过程兼容| |**接口监控**|监控接口调用频率、耗时和异常率| ### 二、系统服务功能设计规范在营销系统中，导致资损的主要问题可归结为： *图：资损四大根源——幂等缺失、兼容破坏、并发失控、规则漏洞，各有对症解法* #### 2.1 幂等性控制设计

幂等性定义

幂等性是系统服务的一种承诺，无论调用接口多少次，对系统的业务影响是一致的。

幂等性控制在营销系统中尤为重要，包含两个层级： 1. **基础幂等控制**：唯一性控制，通过幂等字段拒绝重复请求 2. **高级幂等控制**：除唯一性外，还需比对其他业务要素是否一致 ##### 2.1.1 常见幂等控制问题

幂等控制风险

1. 优惠券领取接口无幂等导致重复领取 2. 营销资产核销无幂等导致重复核销 3. 活动规则执行无幂等导致重复奖励 4. 批量操作无幂等导致重复执行 5. 定时任务幂等性未考虑

##### 2.1.2 幂等性控制设计规范 |类别|规范| |---|---| |**领取场景**|1. 使用用户ID+活动ID做幂等控制
2. 在活动内使用全局唯一流水号
3. 设置单用户领取限制| |**核销场景**|1. 使用资产唯一标识做幂等
2. 先锁定再核销
3. 记录核销流水| |**奖励发放**|1. 使用触发事件ID+用户ID做幂等
2. 保证奖励事件唯一性
3. 设置奖励发放限额| |**批量操作**|1. 生成批次号保证幂等
2. 检查历史操作是否已完成
3. 防止重复提交| |**定时任务**|定时任务需要考虑执行幂等性，设置分布式锁| #### 2.2 兼容性设计规范

兼容性设计

营销系统在业务迭代和规则变化的过程中，需要确保所有变化都能平稳过渡。

##### 2.2.1 常见兼容性问题

兼容性风险

1. 活动规则变更导致老用户体验不一致 2. 老券不能在新活动中使用 3. 新系统不支持老活动数据 4. 营销资产状态定义变化 5. 接口变更不兼容 6. 规则引擎升级导致规则解析不一致

##### 2.2.2 系统兼容性设计规范 |类别|规范| |---|---| |**活动规则**|1. 新规则上线前评估老用户影响
2. 必要时为老用户提供过渡方案
3. 严重变更考虑新老活动并行| |**营销资产**|1. 确保新老券规则统一处理
2. 变更时提供兼容方案
3. 资产状态设计预留扩展空间| |**系统升级**|1. 保证新系统能处理历史数据
2. 数据迁移时保留完整历史
3. 升级采用灰度发布| |**接口变更**|1. 保持接口向后兼容
2. 新参数设计为可选
3. 接口变更提供过渡期| |**规则引擎**|1. 确保解析逻辑兼容性
2. 规则变更提供版本控制
3. 测试各版本规则| #### 2.3 并发互斥控制设计营销系统的并发控制尤为重要，特别是在大促活动中： 1. **资源并发访问控制**（如库存、用户限额） 2. **活动处理并发控制**（如请求处理、规则执行） ##### 2.3.1 常见并发互斥问题

并发互斥风险

1. 库存超发问题 2. 用户限额超出 3. 高并发下的数据不一致 4. 资产状态错误推进 5. 数据库锁争用

##### 2.3.2 系统并发互斥设计规范 |类别|规范| |---|---| |**库存控制**|1. 实施悲观锁或乐观锁
2. 设计预扣减机制
3. 高并发活动考虑分桶设计| |**用户限额**|1. 先验证后执行
2. 限额与操作在同一事务
3. 使用分布式限额控制| |**状态管理**|1. 使用状态机管理资产状态
2. 确保状态迁移原子性
3. 终态设计确保不可回退| |**数据操作**|遵循"一锁二判三改"原则
1. 先锁后读
2. 提交前判断状态
3. 事务内完成状态变更| |**并发处理**|1. 设置队列缓冲高并发请求
2. 实施限流机制
3. 关键服务独立扩容| #### 2.4 活动规则设计规范营销系统的核心是活动规则设计，规则设计不当直接导致资损： ##### 2.4.1 常见活动规则问题

活动规则风险

1. 规则组合产生意外优惠 2. 无封顶限制导致超额优惠 3. 规则设计不合理导致薅羊毛 4. 规则条件验证不完整 5. 规则解析逻辑错误

##### 2.4.2 活动规则设计规范 |类别|规范| |---|---| |**规则定义**|1. 清晰定义规则适用条件和场景
2. 设置规则优先级和互斥关系
3. 设置合理的封顶限制| |**规则组合**|1. 测试不同规则组合效果
2. 设置组合优惠上限
3. 定义规则互斥策略| |**边界测试**|1. 全面测试边界条件
2. 考虑极端用例
3. 模拟不同用户行为测试| |**防薅策略**|1. 实施风控策略
2. 监控异常行为
3. 关键活动设置实时预警| |**规则审核**|1. 规则上线前多人审核
2. 高价值活动需特殊审批
3. 提供规则模拟验证| ## 第三章业务产品分析资损防控规范 ### 3.1 业务产品分析 #### 3.1.1 常见业务产品分析资损风险

业务分析风险

1. 营销预算控制不合理 2. 活动目标与设计不匹配 3. 活动覆盖人群定义不明确 4. 多活动之间协调不足 5. 活动运营成本评估不足 6. 活动风险评估不完善 7. 内部权限管理不严 8. 敏感活动无特别控制

#### 3.1.2 业务产品分析资损防控点 |类别|防控措施| |---|---| |**预算控制**|1. 设置活动总预算
2. 设置单用户获取上限
3. 设置预算预警| |**活动设计**|1. 明确活动目标与KPI
2. 设计符合目标的规则
3. 评估活动ROI| |**人群定义**|1. 精准定义目标人群
2. 设置人群控制规则
3. 预估人群规模| |**活动协调**|1. 统一活动日历
2. 评估活动间相互影响
3. 设置活动优先级| |**成本评估**|1. 全面评估直接成本
2. 考虑运营人力成本
3. 考虑系统资源成本| |**风险评估**|1. 识别可能的风险点
2. 设置风险监控指标
3. 准备应急预案| |**权限管理**|1. 明确权限分配
2. 敏感操作多人审批
3. 定期权限审计| ### 3.2 营销资产管理 #### 3.2.1 常见营销资产管理资损风险

资产管理风险

1. 券规则设计不合理 2. 券发放无限制 3. 券核销验证不严 4. 券生命周期管理不当 5. 券数据统计不准确

#### 3.2.2 营销资产管理资损防控 |类别|防控措施| |---|---| |**规则设计**|1. 设计合理的使用条件
2. 设置使用场景限制
3. 规则设计经过多人审核| |**发放控制**|1. 设置单次发放限额
2. 设置累计发放限额
3. 设置权限控制| |**核销验证**|1. 严格校验使用条件
2. 防止重复核销
3. 验证券和用户匹配关系| |**生命周期**|1. 设置合理有效期
2. 管理过期资产回收
3. 设置使用提醒机制| |**数据统计**|1. 建立多维度统计
2. 定期核对数据
3. 设置数据异常预警| ## 第四章资损防控实践指南 ### 常见资损场景及应对策略 #### 1. 营销券超发

问题

活动中营销券超过预定发放数量，导致预算超支。

解决方案

1. 实施严格的库存控制机制 2. 发券前检查库存，库存不足立即停止发放 3. 设置库存预警，在接近上限时提前预警 4. 高并发场景采用分布式锁和预扣减机制 5. 定期对账核对发放数量与预设库存

#### 2. 重复领取优惠

问题

用户利用系统漏洞重复领取同一优惠，超出活动限制。

解决方案

1. 使用用户ID+活动ID做幂等控制 2. 每次领取前检查用户历史记录 3. 设置领取频率限制 4. 实施风控策略，监控异常领取行为 5. 关键活动设置黑名单机制

#### 3. 营销规则组合漏洞

问题

多个营销规则组合使用时产生意外的高额优惠，超出预期。

解决方案

1. 明确定义规则优先级和互斥关系 2. 设置组合优惠的最高限额 3. 测试验证各种规则组合场景 4. 实施总优惠率或金额上限控制 5. 监控异常高额优惠使用情况

#### 4. 运营误操作

问题

运营人员操作错误，如错误配置活动规则、错误发放优惠券等。

解决方案

1. 实施角色分级权限控制 2. 重要操作需要多人审批 3. 提供操作预览功能 4. 设置操作金额限制 5. 记录完整操作日志 6. 提供紧急撤回机制

#### 5. 活动时间控制不当

问题

活动开始或结束时间控制不精确，导致不应获得优惠的用户获得优惠。

解决方案

1. 统一使用服务器时间控制 2. 活动时间设置增加缓冲期 3. 关键节点设置前置检查 4. 活动开始和结束时进行系统检查 5. 考虑不同时区用户的影响

### 监控与对账

监控重点

在活动上线或变更时，重点监控发放数量、使用率和异常行为，发现异常及时响应。

营销系统的监控与对账主要关注：

对账关键点

1. **发放对账**：资产发放数量与活动预设比对 2. **使用对账**：资产使用情况与业务系统记录比对 3. **预算对账**：实际消耗与预算比对

### 应急与复盘

应急处理

资损发生后需立即启动应急流程，快速止损是第一要务。

应急处理流程： 1. **发现问题**：通过监控或用户反馈发现异常 2. **问题确认**：确认问题严重性和影响范围 3. **止损措施**：如暂停活动、关闭入口、设置黑名单等 4. **原因分析**：快速定位问题原因 5. **解决方案**：制定修复方案并实施 6. **恢复服务**：确认问题解决后恢复服务复盘内容应包括： 1. 问题描述 2. 影响范围 3. 原因分析 4. 处理过程 5. 改进措施 6. 责任划分

改进建议

1. 尽量通过技术和系统手段防控 2. 简化审批流程 3. 加强自动化监控 4. 完善预警机制

### 预案与演练营销活动预案应包含： 1. **问题场景**：可能出现的资损场景 2. **影响评估**：对业务和资金的潜在影响 3. **应对措施**：具体的止损和修复措施 4. **责任分工**：各角色的职责和权限 5. **恢复方案**：服务恢复的步骤和标准

关键预案场景

- 活动异常流量突增 - 优惠券超发 - 规则解析错误 - 恶意领券攻击 - 活动效果与预期严重不符

定期演练确保预案的有效性，演练形式包括： 1. **桌面推演**：团队讨论模拟场景 2. **系统演练**：在测试环境模拟问题 3. **全流程演练**：从发现到解决的完整演练 ## 第五章全局通盘设计

思路

营销系统资损防控需要系统化设计，从产品、技术、运营多维度构建防控体系。

结语

最好的资损防控是在问题形成前就已预见并解决。通过系统化设计和全方位防控，营销系统可以在提供良好用户体验的同时，有效控制资损风险。

## 附录：防控检查清单

活动上线前检查项

- [ ] 活动规则是否明确且无漏洞 - [ ] 预算控制是否合理设置 - [ ] 用户限制是否完善 - [ ] 幂等控制是否到位 - [ ] 并发控制是否考虑 - [ ] 是否有完整监控方案 - [ ] 是否准备应急预案 - [ ] 是否进行压力测试

系统设计检查项

- [ ] 接口幂等性是否保证 - [ ] 数据一致性是否保证 - [ ] 库存控制是否严格 - [ ] 状态管理是否清晰 - [ ] 异常处理是否完善 - [ ] 操作日志是否完整 - [ ] 权限控制是否严格

运营管理检查项

- [ ] 操作权限是否设置合理 - [ ] 审批流程是否完善 - [ ] 操作预览是否可用 - [ ] 数据分析是否准确 - [ ] 异常监控是否及时 - [ ] 应急处理是否高效 - [ ] 复盘机制是否健全

#SRE

别追求 100% 可用：SLO 的错误预算思维