从哪些数据判断异常
系统以邮箱账号为主线，长期保存 Token、订阅 IP、登录 IP、注册 IP、客户端 UA 以及 Soga 等可真实上报 IP 的后端连接数据。
相比单纯查看“一个账号有多少 IP”，多维关联可以减少因为家庭网络、运营商 NAT、旅行或代理软件产生的误判。
核心能力
- 采集注册、登录和订阅请求事件
- 长期保存用户与 IP 的历史关系
- 保存 Token 历史和使用轨迹
- 统计同一 Token 被多个 IP 拉取、同一 IP 拉取多个 Token
- 记录客户端 UA 与 UA 指纹
- 读取 XBoard 在线设备状态并采集真实连接 IP
- 支持多层关系传播与已知风险邮箱调查种子
- 使用独立 MySQL 审计数据库并提供独立网页仪表盘
重要说明
风险评分仅用于辅助调查，不应作为封禁用户的唯一依据。建议结合订单、登录、订阅请求和实际连接数据进行人工复核。
常见问题
一个 Token 同时出现多个 IP 一定是共享吗？
不一定。家庭网络切换、运营商 NAT、移动网络、旅行和代理软件都可能形成多个 IP，需要结合时间、UA、登录、订阅与真实连接记录判断。
为什么要长期保存 IP 关系？
如果只保存最新 IP，历史关联会被覆盖，无法分析账号长期使用轨迹和间接关系。
是否会占用 XBoard 主库？
方案使用独立 MySQL 审计数据库，以减少对 XBoard 主库的额外占用。
能分析真实连接 IP 吗？
支持读取可真实上报连接 IP 的后端数据，例如 Soga 上报的数据。