澳大利亚封号事件警示：年龄验证不该交出身份证

sunny_bear

2025年12月的一个普通清晨，无数澳大利亚青少年发现自己的社交媒体账户突然无法登录。Instagram、TikTok、YouTube、Reddit、X等十个主流平台，在一夜之间执行了全球首部禁止16岁以下用户使用社交媒体的法律。拒绝封锁未成年用户的平台，将面临约3200万美元的罚款。用户失去了账户，平台匆忙堵上合规的窟窿，而这场风暴才刚刚开始。
英国上议院已经投票支持类似澳大利亚的禁令，法国、西班牙、希腊、挪威、丹麦、土耳其、印尼、巴西也在快速跟进。如果你开发的任何互联网服务需要接触用户，那么年龄验证很快就会出现在你的任务看板上。问题不再是“会不会”，而是“什么时候”。


当下大部分平台接到年龄验证的最后期限时，法务只会问一个问题：做一件成本最低、监管机构不会惩罚的事是什么？答案几乎总是“索要身份证件”。于是，上传护照、扫描人脸、输入政府编号、提供信用卡信息就成了默认操作。平台得到的是一个“是或否”的合规结论，外加一份绑定真实人类的已验证身份文件——这份文件会被存储、分析，最终可能遭遇数据泄露，甚至被贩卖。电子前哨基金会（EFF）两年来一直在强调这一点：这些法律正在将整个讨论推向“身份验证”的方向，而这是一个根本性的错误。你只是想证明自己足够年长，去看一篇成人向的同人小说，最后却把个人数据交给了一家去年春天刚发生过数据泄露的第三方公司。
反方的技术逻辑很清晰：证明年龄不应该要求证明身份，这是两个完全不同的问题。年龄是一个布尔值，身份不是。当一项服务需要判断你是否成年时，它只需要一个比特的信息——是否满18岁，是或否。它不需要你的姓名、出生日期、证件号码或面部特征。我们早已拥有实现这一目标的密码学工具：可验证凭证和零知识证明，能够让你只证明某一个特定属性，而不暴露任何其他身份信息。
巴西互联网指导委员会最近邀请我参加了一场闭门会议，与政府机构、国家数据保护局以及操作系统厂商代表一起，探讨年龄验证立法在实际操作系统中到底意味着什么。我本是去争论一个狭窄的技术点，但离开时我确信，这场技术争论本身就是整场战役的全部。目前几乎所有年龄验证法律都在以错误的方式落地，而这种错误实现是默认选项，除非工程师和自由软件活动家开始主动反击。正确的道路就在那里，但沿着惯性滑向身份收集的诱惑，对于手握合规截止日的平台来说实在太大了。