要实现“毛片未成年人保护”，重点不是简单增加一个年龄弹窗，而是搭建一套可验证的内容安全链路：媒体进入系统后先完成识别与风险分级，再根据未成年人风险、色情风险和识别置信度执行拦截、人工复核或放行，并通过接口返回明确结果。以下方案适合视频平台、内容社区、审核后台和媒体存储服务集成使用，但具体法律义务、留存期限和处理范围仍应由合规人员结合业务所在地确认。
从什么位置开始搭建未成年人保护接口？
建议从“媒体上传或发布前”开始接入，而不是等内容已经出现在推荐流后再处理。最小链路可以拆成五个环节：上传接入、媒体分析、风险决策、发布控制、审计复核。
- 上传接入：用户提交视频、图片或封面时，业务服务先生成唯一的媒体标识，不直接把内容标记为可见。
- 媒体分析：对视频进行关键帧抽样、音频转写、字幕识别和封面检测；对图片执行图像内容检测。分析结果应记录模型版本、抽样范围和处理时间。
- 风险决策：将色情风险、疑似未成年人风险、身份信息暴露风险和分析失败状态合并判断，得到明确的处置动作。
- 发布控制：只有返回“允许发布”的内容才能进入公开、搜索、推荐或私信分发链路。
- 审计复核：对拦截、人工复核、申诉和规则变更保留可追踪记录，避免只保存一个无法解释的布尔值。
这里的“疑似未成年人”不能只依赖人脸年龄估计。年龄识别存在误判，且无法证明视频中的真实年龄或拍摄情境。更稳妥的做法是将未成年人相关线索作为高风险信号，与内容类型、语音文字、用户申报、历史审核结果和人工复核共同决定最终动作。没有可靠年龄判断能力时，不应在接口文档中宣称系统能够准确识别未成年人。
接口契约应返回哪些可验证结果？
平台可以先定义内部媒体安全检查接口。下面是示例契约，表示业务系统与安全服务之间应约定的数据结构，不代表某个第三方已经提供这些接口。
| 项目 | 约定 | 用途 |
|---|---|---|
| 请求方式 | POST /v1/safety/media/check | 提交待检测媒体的元数据和受控读取凭证 |
| 必填字段 | media_id、media_type、storage_ref、policy_version | 保证内容、类型和采用的规则版本可追踪 |
| 返回状态 | allow、block、review、pending、error | 让发布服务能够执行确定动作 |
| 风险字段 | sexual_risk、minor_risk、pii_risk | 分别记录色情、未成年人和隐私暴露风险 |
| 解释字段 | reason_codes、model_versions、checked_at | 支持审核、申诉和问题排查 |
请求体可以采用类似下面的结构：
{ "media_id": "内部唯一标识", "media_type": "video", "storage_ref": "受控对象引用", "policy_version": "规则版本", "callback_id": "业务回调标识" }
返回结果不应只写“true”或“false”。例如，服务可以返回：
{ "media_id": "内部唯一标识", "status": "review", "sexual_risk": "high", "minor_risk": "unknown", "pii_risk": "low", "reason_codes": ["SEXUAL_CONTENT_HIGH", "MINOR_AGE_UNVERIFIED"], "model_versions": ["video-model-x", "text-model-y"], "checked_at": "处理完成时间" }
以上字段中的模型名称只能填写实际部署的模型版本；如果系统没有独立的未成年人检测能力，应返回“unknown”或“unsupported”，不能把未知结果伪装成“低风险”。同理，检测服务超时、媒体损坏、关键帧抽样失败或音频无法解析时，应返回“error”或“pending”，而不是默认放行。
有了识别结果后，应该怎样决定拦截还是复核？
建议把“识别结果”和“业务动作”分开。识别服务负责说明检测到了什么，策略服务负责说明接下来怎么处理。这样调整阈值、地区规则或产品场景时，不必重新改动媒体分析接口。
| 情况 | 建议动作 | 不适合的处理方式 |
|---|---|---|
| 色情风险高，且存在疑似未成年人信号 | 立即阻断公开发布，冻结自动分发，转入专门复核和证据保全流程 | 仅加年龄弹窗后继续推荐 |
| 色情风险高，但年龄信息无法确认 | 先阻断公开展示，进入人工复核；未完成复核前不进入搜索和推荐 | 把“无法确认”当作“成年人” |
| 内容风险低，但检测服务暂时失败 | 对公开发布采用暂缓或降级队列，待检查完成后再决定 | 因服务异常直接放行 |
| 模型置信度接近阈值 | 进入人工复核，并记录触发阈值、模型版本和复核结论 | 只按单一分数机械放行 |
| 已确认合规且无相关风险 | 允许发布，但仍保留可撤回和复查能力 | 永久跳过后续抽检 |
如果业务必须使用分数，接口应同时返回分数含义、取值范围、阈值版本和校准日期。例如，0.9究竟表示色情分类置信度、未成年人信号强度，还是综合风险分数，必须在契约中写清楚。不同模型的分数不能直接比较，也不能把多个分数相加后声称获得了准确的年龄结论。
如何把视频、封面和文本放进同一条保护链路？
视频内容不能只检测上传时的封面。发布前至少应检查封面、标题、简介、字幕、音频转写文本和按时间抽取的关键帧。抽样间隔应根据视频时长、内容风险和处理资源设定，并在检测记录中写明；对高风险或已被举报的内容，可以增加抽样密度或转入人工逐段检查。
- 封面与关键帧：识别显性色情内容、疑似未成年人形象、学校或家庭地址等敏感信息。
- 标题、标签与简介：识别诱导未成年人、规避审核、交易招募和年龄暗示等文本信号。
- 音频与字幕：检查自述年龄、胁迫、交易、联系方式和其他可能改变风险判断的内容。
- 上下文信息：将用户申报年龄、上传来源、历史违规记录和举报信息作为辅助信号，不把单一字段当作事实证明。
处理完成后，可以使用异步回调避免长视频请求超时。回调接口至少应包含media_id、decision_id、status、reason_codes、policy_version和签名校验字段。业务方收到回调后要验证签名、检查decision_id是否已经处理，并采用幂等更新：同一个结果重复到达时不能重复扣分、重复通知或重复删除。
部署时怎样保证“未检测完成就不可见”？
发布服务应采用默认不公开的状态机，例如：uploaded表示已上传、scanning表示检测中、review表示人工复核、allowed表示允许展示、blocked表示阻断。只有allowed状态可以被公开接口读取。推荐、搜索、缓存、转码结果和分享链接都必须再次检查状态，不能因为某个旧缓存或直链而绕过保护逻辑。
部署上可以将上传服务、媒体分析服务、策略服务、人工审核台和审计存储分开。媒体分析服务只读取受控对象引用，不应把原始文件复制到多个无权限的临时目录；人工审核使用最小权限和水印预览；审计日志记录操作者、动作、理由、时间、规则版本和关联媒体标识，但避免在普通日志中写入未成年人身份信息或不必要的原始内容。
当分析服务不可用时，适合采用“发布链路暂停、上传仍可保存”的降级方式。这样既不会丢失用户上传，也不会因为安全服务故障而让未检测内容进入公开传播。对于已经发布的内容，还应设置定期复查、举报触发复查和规则升级后的批量重检机制。
怎样验证这套接口确实有效？
上线前应使用经过授权、去标识化的测试集验证四类结果：明确应阻断的样本、明确可放行的样本、边界样本以及检测失败样本。重点检查高风险内容是否会被错误放行，而不只是统计总体准确率。测试记录应包含输入类型、预期动作、实际动作、响应耗时、错误码和模型版本。
接口层还需要测试以下情况：重复请求是否幂等、回调乱序是否能正确处理、媒体被替换后media_id是否失效、策略版本升级后旧结果是否需要重检、人工复核覆盖自动结果时是否留下完整链路，以及删除请求是否同步清理缓存和下载凭证。
最终，毛片未成年人保护系统的核心不是某一个识别模型，而是“未完成验证不得公开、未知结果不得冒充安全、每个动作都能追溯”的接口契约。若业务无法确认年龄、内容上下文或模型能力，就应选择暂缓发布和人工复核；若只是普通成人内容审核场景，也可以采用较轻的策略，但不能因此取消未成年人风险的单独判断和审计记录。
