资金说明（2026年9月）：CypherpunkGuide不采用监控型广告、广告网络、跟踪像素或赞助文章。部分文章含有明确标注的联盟推广链接，我们可能因此获得佣金。本文没有此类链接。
2026年9月30日更正： 旧版把人脸年龄估算等同于身份识别，断言年龄核验必然产生永久保存身份与浏览记录的数据库，并承诺去中心化服务可以避开年龄核验。旧版还把Discord在2025年的客服事件误写成常规年龄核验供应商遭入侵。下文已更正这些说法。法律示例仅限所引规则，本文不是全球法规调查，也没有测试所有已部署的年龄核验系统。
一个页面要求你证明自己已达到使用年龄。有的方法要求身份证件，有的从自拍估算年龄，还有的接受一份只说明你达到年龄门槛的凭证。界面都把它们叫作“年龄核验”，不代表它们会收集和透露同样的信息。
隐私取决于数据实际上如何流转。网站可能只需要一个年龄结果，不需要你的姓名。签发凭证的机构可能知道你的身份，却不知道你向哪些网站出示了凭证。反过来，最后一步透露的信息很少，也不代表前面的收集过程同样克制。关键是逐一确认：谁能知道什么，又会留下什么。
估算年龄，不等于确认一个人的身份#
人脸年龄估算可以在不知道姓名的情况下估计年龄；把人脸与身份证件匹配，则是另一种用途。 两种方法都可能处理敏感图像。仅凭“自拍”或“核验”这样的名称，无法知道谁处理图像、事后还保留什么。
英国网络内容安全监管机构Ofcom将人脸年龄估算与带照片的身份证件匹配列为不同方法。前者从图像估计年龄，后者核对证件是否属于出示证件的人。Ofcom还列出通过银行、移动通信运营商或数字身份服务核验的方法。你与其中某家机构已有关系，不等于必须把身份证件交给每一个网站。
英国数据保护监管机构信息专员办公室（ICO）在2022年的Yoti监管沙盒报告中审查过一个具体案例。第3.15和4.4节描述的年龄估算并非为识别唯一的个人而设计。这反驳了“扫描人脸必定能确认你是谁”的说法，却不等于为所有人脸年龄估算产品及其部署方式背书。
准确性、能否获得访问权限和隐私，是不同的问题。一种方法可能很少收集身份信息，却把用户的年龄判断错。之后的申诉又可能要求比初次核验更多的资料。因此，除了第一个界面，还要看替代方式和申诉流程。
哪些服务必须核验，要看具体法规#
这里引用的英国、澳大利亚和美国得州规则，并没有共同规定所有成年人都必须上传身份证件。 适用对象与允许的方法各不相同。以下示例在2026年9月修订时核查过，但不能代表当地法律的全部内容。
| 示例 | 适用范围 | 不能据此推出的结论 |
|---|---|---|
| 英国 | Ofcom说明，自2025年7月25日起，访问色情内容需采用严格的年龄核验，也有针对其他有害内容的要求 | 所有网络服务都必须收集每个用户的政府签发身份证件 |
| 澳大利亚 | 社交媒体最低年龄义务涉及受规则约束的平台上的未满16岁用户账户 | 每个澳大利亚用户都必须单独接受身份证件核验 |
| 得州 | 2025年6月，美国最高法院维持了HB 1181中受到挑战的年龄核验要求，适用于规定范围内的商业成人内容网站 | 美国每一部年龄核验法律都有效，或所有宪法争议都已结束 |
澳大利亚eSafety的指引说明，平台不需要逐一核验所有用户的年龄。平台须提供政府身份证件或获认可数字身份服务之外的合理替代方式；监管机构也不期望平台保留单次年龄核验产生的个人信息。这些是监管要求和期望，不是所有平台都遵守规则的证明。
美国最高法院在Free Speech Coalition v. Paxton案中的判决处理的是提交法院审理的得州要求。不能把不同法律、服务和实施细节都当成已经解决的同一个问题。在认定某种方法必须使用、或某项服务可以免除核验前，应查阅服务方的说明和相关监管机构的规定。
把收集、签发、出示和保存分开检查#
年龄凭证可以减少网站获得的信息，但不会自动消除整个流程中的隐私风险。 收集、签发、出示、不同次使用之间的关联和保存，都需要分别检查。签发时核对身份，并不必然意味着签发方会知道此后每一个使用该凭证的网站。
签发方负责生成年龄凭证；核验方通常是网站，负责检查凭证。零知识证明可以证明某项条件成立，而不透露用来证明它的底层信息。但这个性质本身不会隐藏已经登录的账户、网络连接，或证明过程之外留下的记录。
欧盟委员会的年龄核验蓝图提出的设计目标是：接收证明的服务不获得身份信息，签发方也不知道用户之后在哪些服务使用证明。技术规范将签发与出示分开，并讨论不同次使用能否关联以及数据保存问题。规范所描述的签发流程会确认身份，但这不代表所有可能的年龄证明方案都必然要求身份核验。
隐私性质取决于实际协议和实现，包括使用的备用流程。“不可关联”是指，不能根据相关协议数据判断多次出示是否来自同一个用户。应确认实际使用的模式是否具有这一性质，而不能把它直接当成完全匿名。
Brave对零知识年龄核验的分析提出了签发方权力、元数据和周边机制的问题。这是一份需要审视的技术批评，不能用来证明所有保护隐私的设计都会失败。我们审阅的是文档，没有逐一审计各国应用、设备的备用流程或供应商的日志。
可以用五个问题来检查这些设计承诺：
- 收集： 这个选项要求图像、证件、账户信息，还是只接收年龄结果？哪个机构会收到原始资料？
- 签发： 签发凭证依据什么材料？签发方是否保留材料，声称依据什么保留？
- 出示： 网站收到哪些字段？备用流程是否比首选方式透露更多？
- 关联： 重复使用的标识、账户或交易记录能否串起不同次使用？签发方能否看到凭证在哪里出示？
- 保存： 作出判断后还留下什么，包括客服工单和申诉资料？是否公布删除期限及咨询渠道？
没有答案意味着情况不明，不能当成“什么都没收集”或“永久保存”的证据。不同记录组合起来，仍可能暴露一个人的身份；AI辅助身份识别指南解释了这种关联。
Discord事件说明，客服和申诉也要纳入检查#
Discord通报的2025年事件涉及第三方客服系统，以及用于年龄申诉的身份证件照片。 该事件不能证明每次年龄核验都会建立集中式浏览历史数据库，也不能证明某部年龄核验法律导致了入侵。
Discord在2025年10月9日的更新中称，约7万名用户的政府签发身份证件照片可能遭到泄露。这些照片用于审核年龄相关申诉。Discord还表示，除用户向客服谈及的内容外，事件没有暴露消息或其他活动记录。这些是公司报告的调查结果，不是我们独立统计的已确认泄露数量，也不是对具体哪家供应商的系统遭入侵所作的认定。
因此，隐私评估不能漏掉例外和申诉流程。初次核验可能只透露少量信息，之后的一次争议却可能产生附带证件的客服工单。在认定第一个界面已经说明整个流程前，要先问清这种情况如何处理。
身份信息一旦外泄，可能在很长时间后仍然敏感。删除原始记录，不能保证已经取走的副本也被删除；长期留存的网络记录一文讨论了这一差别。这支持减少不必要的保存，却不能证明所有记录都会泄露或永久存在。收到事件通知后，应查阅真实服务方和相关证件签发机构的指引；政府数据泄露应对指南解释了为何要先确认受影响的数据类型。
按你想减少的信息披露来选择方法#
不同方法减少的是不同信息，不能给它们排出适用于所有人的安全名次。 网络工具、人脸年龄估算和年龄凭证处理的问题并不相同。年龄核验判断表（英语CSV）记录了比较所依据的条件、剩余风险和资料来源。它是编辑整理的判断框架，不是性能测试，也不是对任何供应商的认证。
| 选项 | 可能的作用 | 仍需确认的限制 |
|---|---|---|
| 人脸年龄估算 | 可能无需提交载有姓名的身份证件 | 仍会处理图像；需确认接收方、保存方式和申诉流程 |
| 带照片的身份证件匹配 | 在要求证件时，可能是一种获接受的方式 | 接收方会获得证件信息；需问清谁保存图像、保存多久 |
| 年龄凭证或零知识证明 | 可以只向网站透露年龄结果，不透露身份字段 | 需检查签发过程、重复标识、账户关联和实际备用流程 |
| VPN或Tor | 可以减少某些网络信息披露，改变网站看到的IP地址 | 无法撤回已上传证件、消除登录身份或取消服务的年龄要求；不保证可以访问 |
| 不需账户的服务或去中心化架构 | 可能减少部分账户信息收集或对中心机构的依赖 | 运营方仍可能核验年龄；要看实际服务和适用地区 |
| 拒绝非必需的提交，或选择获接受且收集更少信息的方法 | 避免这一次新增的信息提交 | 访问可能受限；已被保存的信息不会因此消失 |
VPN让流量经过服务商，Tor Browser则让流量经过中继。两者都不会改变你主动交给网站的内容。Tor也不能替代从端点到端点的传输加密：Tor项目的说明区分了加密连接与出口中继可以读取的明文。即使目标网站看不到你的原始IP地址，登录账户仍可能表明你是谁。这些是在说明工具的隐私边界，不是承诺能绕过网站的限制。
去中心化架构也容易被夸大。Bluesky在2025年7月的公告中引入了年龄确认措施，并对未通过核验的英国用户设置限制。采用去中心化协议，并不会消除服务运营公司的责任或选择。无需账户访问，也不代表可以免除法律义务，或保证完全不留记录。
选择你能安全评估的流程#
在能满足需要的获接受选项中，优先考虑收集最少信息的方式，并检查包括申诉在内的完整流程。 核验失败后，先查看服务方公布的复核程序，再决定是否向其他渠道补交证件。匿名承诺需要同时说明证明机制和周边记录，不能只解释其中一部分。
如果伴侣或家人控制、监看你的设备或账户，即使年龄证明本身透露很少信息，本地留下的使用记录仍可能带来危险。考虑谁能查看设备、账户和通知。面对眼前的危险，应优先保障安全，并联系能够安全接触的支援；不要为了完成隐私评估或收集证据而延误求助。
对开发者和倡议者而言，可以提出具体要求：只收集作出判断所需的信息，在设计允许时将签发与使用分开，避免可重复追踪的标识，说明备用流程，限制保存，并提供容易使用且具有同等隐私保障的申诉渠道。协议开放或隐私声明很短，都不足以证明这些性质成立。密码朋克所主张的有选择地披露信息，需要落实为可检查的机制。
常见问题#
年龄核验一定要确认我是谁吗？#
不一定。人脸年龄估算可以不识别具体个人，而带照片的身份证件匹配会核对证件与持有人。年龄凭证也可能只向接收网站表明你达到规定年龄。但仍需确认所选服务实际收集、处理和保存什么。
VPN或Tor能让上传身份证件变得匿名吗？#
它们不会删除你发送的证件中的身份信息，也不会阻止接收服务将证件与账户关联。它们改变的是网络连接的部分信息。网站仍可增加检查或限制访问，两种工具都不保证年龄要求会因此消失。
零知识证明能消除所有追踪吗？#
不能。它可以减少证明本身披露的信息，但周边的账户、重复标识、网络记录和其他备用模式仍会影响隐私。要分清签发方在签发时获得的信息，与网站在接收证明时获得的信息。签发时检查身份，本身不意味着签发方会知道此后的每个访问目标。
Discord是否确认7万份常规年龄核验记录已经泄露？#
所引公告不是这个意思。Discord称，在第三方客服事件中，约7万名用户的政府身份证件照片可能遭到泄露；照片用于年龄相关申诉。公告没有证明每次常规年龄核验都受影响，也没有确认这些照片全部泄露。
去中心化或无需账户的服务可以免于年龄核验吗？#
不会自动免除。要求和实施方式取决于运营方、服务和适用地区。Bluesky的英国年龄确认公告，就是“去中心化服务一律免除”的反例。应检查你实际使用的服务，而不是只看架构名称。
