要实现“毛片未成年人
；ぁ，不能只在页面增长一个春秋提醒，也不能只依赖内容审核接口？陕涞氐墓婊Π涯谌菁稹⒋呵锖搜椤⒔蛹霾摺⒚教宓刂非┓⒑蜕蠹萍吐剂梢惶趿矗耗谌萁胂低呈毕仁迪址旨，用户要求播放时再核验春秋，决策接口统一返回允许、拦截、二次核验某人为复核，未满足前提时不签发可播放的媒体地址。

下面给出一套可由开发团队自行实现的接口左券。文中的接口蹊径和字段是内部系统示例，不代表任何第三方服务已经提供这些能力。现实接入表部春秋核验或内容鉴别服务时，应以对刚正式文档、合用地域规定和数据处置和谈为准。

若何搭建毛片未成年人
；さ幕×绰？

建议先拆成五个？，而不是让前端直接决定是否展示内容。

1. 内容分级？椋在上传、转码或颁布前鉴别成人内容、疑似未成年人有关内容、未知内容和通常内容。
2. 春秋核验？椋只向切合前提的用户发放短期有效的核验凭证，不让客户端自行提交一个布尔值就获得权限。
3. 统一决策？椋凭据用户状态、内容标签、地域、账号状态和平台战术返回最终作为。
4. 媒体接见？椋只有决策了局为允许时，才天生短时效播放地址或下载地址。
5. 审计与监控？椋纪录战术版本、决策了局、失败原因和追踪编号，便于定位放行或拦截谬误。

齐全链路能够表白为：内容标签缺失或属于高风险类别 → 内容进入隔离区并不容公开 → 审核或分类实现后再进入决策接口
；用户未实现春秋核验 → 决策接口返回回绝或核验要求 → 媒体服务不签发播放地址。这样，即便前端被批改，用户也无法仅靠改页面状态接见受
；ぷ试。

先明确哪些内容必须拦截，接口判断才会不变吗？

是的。春秋
；そ涌谝览挡槐涞哪谌荼昵。若是所有内容只使用“成人”或“非成人”两个值，系统很难处置未知内容、人为复核和疑似涉及未成年人的特殊情况。建议成立至少四类内部标签：

内容标签与处置作为示例

标签	寓意	默认作为
ordinary	通常内容，未触发成人限度	按通常接见战术处置
adult_restricted	必要春秋限度的成人内容	进入春秋决策流程
minor_related	疑似涉及未成年人或未成年人道化表白	当即隔离，不进入展示链路
unknown	鉴别失败、标签缺失或了局矛盾	默认不公开，转人为或沉新处置

内容标签不能由浏览器传入后直接信赖。颁布服务应在服务端保留标签起源、模型或规定版本、审核状态和更新功夫。例如，内容纪录至少应蕴含 content_id、classification、review_status、policy_version 和 updated_at。当标签从 adult_restricted 变为 minor_related 时，系统应撤销已有播放地址，并让缓存当即失效。

若是鉴别了局涉及未成年人道化或疑似违法内容，不应持续尝试播放、转码或推荐。应将原始文件和衍生文件隔离，限度接见权限，并依照合用司法、平台应激流程和合规要求处置。通常春秋核验接口不能代替这类内容措置流程。

春秋核验实现后，接见要求应若何进入决策接口？

不要让前端挪用“是否成年”的单一接口后自行判断。更稳妥的做法是由后端成立统一决策接口，例如内部使用 POST /internal/safety/decision。该蹊径只是示例，沉点是固定要求字段和响应语义。

决策接口要求字段示例

字段	类型	用处
subject_token	字符串	服务端天生的用户或会话标识，不传原始身份证件数据
content_id	字符串	待接见内容的唯一标识
content_classification	枚举	读取服务端保留的内容分级了局
age_assurance	对象	蕴含核验状态、春秋段、有效期和核验凭证版本
region	字符串	用于匹配地域战术，不能只依赖客户端传值
request_id	字符串	关联日志、审计纪录和故障排查

age_assurance 不建议只设置 is_adult=true。至少应分辨 verified、unverified、expired、rejected 和 unavailable。系统还应保留核验凭证的签发功夫、过期功夫、签发系统和战术版本，但尽量不在通常业务日志中保留原始证件、齐全人脸图像或不用要的身份信息。

接口返回什么，前端和媒体服务才不会各自放行？

决策接口应返回明确且有限的作为集中，预防前端凭据吞吐案牍自行揣度Ｄ芄皇褂靡韵孪煊ψ笕

决策接口响应字段示例

字段	示例值	注明
decision	allow / deny / age_gate / review	最终作为，不返回盛开式描述
reason_code	AGE_NOT_VERIFIED	不变的机械可读原因码
policy_version	policy-2025-01	本次判断使用的战术版本
audit_id	唯一编号	关联审计纪录，不露出敏感资料
expires_at	功夫戳	允许了局或核验状态的失效功夫

处置逻辑应维持单向：决策了局为 allow → 后端再次确认内容状态 → 天生短时效、绑定用户和内容的媒体地址 → 播放服务验证地址后返回数据。若是决策了局为 deny，响应中不应蕴含原始媒体地址、备用地址或可猜测的存储蹊径
；若是了局为 age_gate，只返回核验流程所需的信息
；若是了局为 review，内容应停顿在隔离状态，不能由前端把它当作允许接见。

播放地址最好绑定 subject_token、content_id、过期功夫和战术版本，并设置较短有效期。CDN 或对象存储收到要求时，应验证署名和绑定关系。仅暗藏按钮、吞吐封面或在前端弹窗提醒，不能组成有效的未成年人
；そ谠。

若是核验失败或接口不成用，系统应怎么处置？

对于成人限度内容，
；ふ绞跤ρ∪∧匣鼐，而不是接口超时后持续放行Ｄ芄话匆韵路绞酱χ茫

• 用户未核验：返回 age_gate，不签发媒体地址。
• 核验凭证过期：返回 age_gate，要求沉新实现当前允许的核验流程。
• 核验了局被回绝：返回 deny，纪录原因码，但不向客户端披露过多内部判断细节。
• 内容标签缺失：按 unknown 处置，不容公开并转入沉新分类某人为复核。
• 决策服务超时：对成人限度内容返回
  ；ば允О，不使用持久缓存的旧允许了局。
• 内容被沉新象征为高风险：撤销署名地址、算帐有关缓存，并阻止后续要求。

缓存是容易被忽略的失败点。允许了局的缓存键不能只使用 content_id，至少要蕴含用户主体、地域、战术版本和内容状态。不然，一个已经核验的用户得到的允许了局可能被谬误复用于未核验用户。回绝了局也应设置合理的短期缓存，预防用户不休沉复要求接口造成压力。

部署后怎么验证毛片未成年人
；ち绰访挥惺？

上线前应使用测试账号、测试内容和独立环境逐项验证，不要只测试正常播放。每个用例都应纪录要求编号、预期决策、现实决策、是否签发媒体地址以及审计纪录是否齐全。

1. 未核验账号接见成人限度内容：预期返回 age_gate 或 deny，响应中没有播放地址。
2. 核验凭证已过期：预期不能沿用旧的允许状态，系统应要求沉新核验。
3. 内容标签为 unknown：预期进入隔离或复核，不得直接公开。
4. 内容标签为 minor_related：预期当即拦截，推荐、搜索、播放和下载接口均不能返回该内容。
5. 已核验用户接见允许内容：预期只获得绑定用户和内容的短时效地址，地址过期后不能持续使用。
6. 决策接口超时：预期成人限度内容维持回绝，不因故障自动放行。
7. 批改浏览器字段：将客户端的春秋字段改为成年，预期服务端仍凭据自己的核验凭证判断。
8. 战术版本更新：预期旧缓存和旧署名地址依照设定规定失效，新的要求使用新战术。

监控指标至少蕴含成人内容要求量、未核验拦截率、春秋核验成功率、未知标签占比、决策接口超时率、播放地址签发量、撤销量和人为复核积压量。若是“allow”数量忽然上升，而核验成功率没有同步变动，该当即查抄缓存键、鉴权中央件和内容标签同步工作。

最终验收尺度不是页面是否出现“仅限成年人”的提醒，而是：未实现核验的用户拿不到受
；っ教宓刂，疑似涉及未成年人的内容无法进入公开链路，接口返回可能被各服务一致诠释，失败时系统默认
；，并且每次关键决策都能通过审计编号追忆。这样搭建的毛片未成年人
；せ，才具备可部署、可验证和可持续守护的基础。

mbpperehpvtgqkpghpr3keoglly