要实现“毛片未成年人保护”，重点不是简单增加一个年龄弹窗，而是搭建一套可验证的内容安全链路：媒体进入系统后先完成识别与风险分级，再根据未成年人风险、色情风险和识别置信度执行拦截、人工复核或放行，并通过接口返回明确结果。以下方案适合视频平台、内容社区、审核后台和媒体存储服务集成使用，但具体法律义务、留存期限和处理范围仍应由合规人员结合业务所在地确认。

从什么位置开始搭建未成年人保护接口？

建议从“媒体上传或发布前”开始接入，而不是等内容已经出现在推荐流后再处理。最小链路可以拆成五个环节：上传接入、媒体分析、风险决策、发布控制、审计复核。

1. 上传接入：用户提交视频、图片或封面时，业务服务先生成唯一的媒体标识，不直接把内容标记为可见。
2. 媒体分析：对视频进行关键帧抽样、音频转写、字幕识别和封面检测；对图片执行图像内容检测。分析结果应记录模型版本、抽样范围和处理时间。
3. 风险决策：将色情风险、疑似未成年人风险、身份信息暴露风险和分析失败状态合并判断，得到明确的处置动作。
4. 发布控制：只有返回“允许发布”的内容才能进入公开、搜索、推荐或私信分发链路。
5. 审计复核：对拦截、人工复核、申诉和规则变更保留可追踪记录，避免只保存一个无法解释的布尔值。

这里的“疑似未成年人”不能只依赖人脸年龄估计。年龄识别存在误判，且无法证明视频中的真实年龄或拍摄情境。更稳妥的做法是将未成年人相关线索作为高风险信号，与内容类型、语音文字、用户申报、历史审核结果和人工复核共同决定最终动作。没有可靠年龄判断能力时，不应在接口文档中宣称系统能够准确识别未成年人。

接口契约应返回哪些可验证结果？

平台可以先定义内部媒体安全检查接口。下面是示例契约，表示业务系统与安全服务之间应约定的数据结构，不代表某个第三方已经提供这些接口。

请求体可以采用类似下面的结构：

返回结果不应只写“true”或“false”。例如，服务可以返回：

以上字段中的模型名称只能填写实际部署的模型版本；如果系统没有独立的未成年人检测能力，应返回“unknown”或“unsupported”，不能把未知结果伪装成“低风险”。同理，检测服务超时、媒体损坏、关键帧抽样失败或音频无法解析时，应返回“error”或“pending”，而不是默认放行。

有了识别结果后，应该怎样决定拦截还是复核？

建议把“识别结果”和“业务动作”分开。识别服务负责说明检测到了什么，策略服务负责说明接下来怎么处理。这样调整阈值、地区规则或产品场景时，不必重新改动媒体分析接口。

如果业务必须使用分数，接口应同时返回分数含义、取值范围、阈值版本和校准日期。例如，0.9究竟表示色情分类置信度、未成年人信号强度，还是综合风险分数，必须在契约中写清楚。不同模型的分数不能直接比较，也不能把多个分数相加后声称获得了准确的年龄结论。

如何把视频、封面和文本放进同一条保护链路？

视频内容不能只检测上传时的封面。发布前至少应检查封面、标题、简介、字幕、音频转写文本和按时间抽取的关键帧。抽样间隔应根据视频时长、内容风险和处理资源设定，并在检测记录中写明；对高风险或已被举报的内容，可以增加抽样密度或转入人工逐段检查。

• 封面与关键帧：识别显性色情内容、疑似未成年人形象、学校或家庭地址等敏感信息。
• 标题、标签与简介：识别诱导未成年人、规避审核、交易招募和年龄暗示等文本信号。
• 音频与字幕：检查自述年龄、胁迫、交易、联系方式和其他可能改变风险判断的内容。
• 上下文信息：将用户申报年龄、上传来源、历史违规记录和举报信息作为辅助信号，不把单一字段当作事实证明。

处理完成后，可以使用异步回调避免长视频请求超时。回调接口至少应包含media_id、decision_id、status、reason_codes、policy_version和签名校验字段。业务方收到回调后要验证签名、检查decision_id是否已经处理，并采用幂等更新：同一个结果重复到达时不能重复扣分、重复通知或重复删除。

部署时怎样保证“未检测完成就不可见”？

发布服务应采用默认不公开的状态机，例如：uploaded表示已上传、scanning表示检测中、review表示人工复核、allowed表示允许展示、blocked表示阻断。只有allowed状态可以被公开接口读取。推荐、搜索、缓存、转码结果和分享链接都必须再次检查状态，不能因为某个旧缓存或直链而绕过保护逻辑。

部署上可以将上传服务、媒体分析服务、策略服务、人工审核台和审计存储分开。媒体分析服务只读取受控对象引用，不应把原始文件复制到多个无权限的临时目录；人工审核使用最小权限和水印预览；审计日志记录操作者、动作、理由、时间、规则版本和关联媒体标识，但避免在普通日志中写入未成年人身份信息或不必要的原始内容。

当分析服务不可用时，适合采用“发布链路暂停、上传仍可保存”的降级方式。这样既不会丢失用户上传，也不会因为安全服务故障而让未检测内容进入公开传播。对于已经发布的内容，还应设置定期复查、举报触发复查和规则升级后的批量重检机制。

怎样验证这套接口确实有效？

上线前应使用经过授权、去标识化的测试集验证四类结果：明确应阻断的样本、明确可放行的样本、边界样本以及检测失败样本。重点检查高风险内容是否会被错误放行，而不只是统计总体准确率。测试记录应包含输入类型、预期动作、实际动作、响应耗时、错误码和模型版本。

接口层还需要测试以下情况：重复请求是否幂等、回调乱序是否能正确处理、媒体被替换后media_id是否失效、策略版本升级后旧结果是否需要重检、人工复核覆盖自动结果时是否留下完整链路，以及删除请求是否同步清理缓存和下载凭证。

最终，毛片未成年人保护系统的核心不是某一个识别模型，而是“未完成验证不得公开、未知结果不得冒充安全、每个动作都能追溯”的接口契约。若业务无法确认年龄、内容上下文或模型能力，就应选择暂缓发布和人工复核；若只是普通成人内容审核场景，也可以采用较轻的策略，但不能因此取消未成年人风险的单独判断和审计记录。