在数字服务领域，年龄验证已成为满足监管合规的必备环节，尤其是《数字服务法》（DSA）对在线平台提出了明确的年龄核实要求。然而，传统的年龄验证方式往往要求用户上传身份证件或提供详细出生日期，这种做法与数据保护法规的核心原则存在直接冲突。构建一套既能通过监管审查、又能最大程度减少敏感数据收集的架构，是当前工程实践中的关键挑战。
满足 GDPR 核心要求的设计原则
《通用数据保护条例》（GDPR）对涉及未成年人数据处理的活动提出了严格要求。在年龄验证场景下，系统设计必须遵循以下核心原则：合法性基础明确，系统需清晰界定数据处理的唯一目的仅为确认用户是否达到最低年龄阈值；数据最小化原则要求仅收集判断年龄所必需的信息，理想情况下仅返回一个布尔值而非完整的出生日期；存储限制原则意味着不应持久化原始身份数据，仅保留短期有效的验证令牌；隐私默认原则要求平台无法获取超出二元年龄结果之外的任何可识别信息。
法国国家信息与自由委员会（CNIL）等监管机构已明确发出警告，要求服务提供商避免因年龄验证目的而收集身份证件扫描件，认为此类做法与比例原则不符。欧洲数据保护委员会（EDPB）亦强调，任何年龄验证机制都应将数据收集控制在最低限度。
三角色分离的最小化数据架构
当前业界推荐的最小化数据架构将年龄验证流程拆分为三个逻辑角色，各自承担明确职责且相互隔离。年龄属性来源方（Issuer）是可信赖的第三方机构，负责执行一次性验证并签发年龄凭证或令牌，该方掌握用户的真实身份信息，但不应获知用户最终访问的具体服务平台。用户端钱包或客户端是存放隐私保护年龄凭证的载体，可以是基于浏览器或设备的钱包应用，在用户访问服务时仅出示加密证明而非完整身份数据。依赖方服务即业务平台本身，仅接收二元化或阈值化的验证结果，例如 “已满 18 岁” 是或否，不获取用户的出生日期或身份证号。
这一架构的数据流向为：用户触发验证请求后，浏览器重定向至独立验证方或调用设备钱包；验证方基于高可信度数据源完成年龄核验，返回带有签名的短期令牌或零知识证明；用户的客户端将该证明提交至业务后端；后端验证签名有效性后在会话期间标记 “age_ok=true”，整个过程不持久化任何身份数据。
最小化数据收集的技术实现路径
在技术实现层面，系统应采用阈值声明而非精确出生日期。零知识证明（ZKP）技术允许验证方确认用户年龄在某一范围内，而不泄露具体出生日期或身份信息，这与 GDPR 数据最小化要求高度契合。短期令牌方案使用一次性或短生命周期的 JWT 令牌，仅编码年龄结果与过期时间，由验证方签名认证。
更关键的设计要点包括：业务平台不直接采集身份证件扫描件或号码，避免因平台数据泄露导致敏感身份信息外泄；除非有明确法律依据且不可避免，否则不应采用行为分析或 AI 年龄估算方案，因其涉及大规模敏感数据集与用户画像构建，与数据最小化原则存在根本矛盾。
令牌化架构的泄露风险模型
尽管令牌化架构显著降低了传统做法的风险，但其自身同样存在不可忽视的安全威胁。核心风险在于，如果少数验证发行方存储完整的 KYC 数据，这些机构将成为极具吸引力的攻击目标，一旦被攻破将影响海量用户。监管日志、审计追踪以及异常处理流程可能在不知觉中积累丰富的用户画像。
元数据泄露同样值得关注。即使令牌 payload 本身经过加密，IP 地址、设备指纹、请求时间等元数据仍可能用于关联不同会话。管辖权核验所需的地理位置信息本身即属于高度敏感数据，一旦泄露将造成严重影响。此外，长期存在的刷新令牌或 “记住我” 令牌若被窃取，将使年龄验证保护机制形同虚设。
降低泄露风险的设计模式
针对令牌化架构的固有风险，系统设计可采取以下防御措施。属性最小化层面，令牌仅编码政策决策所必需的信息，如 “已满 13 岁”“已满 16 岁” 或 “已满 18 岁”，除非法律强制要求，否则不包含姓名、精确出生日期或唯一身份标识号。
强隔离与盲化架构要求验证发行方不知悉用户访问的具体网站，网站亦不知悉用户使用的身份文档类型或发行方信息，通过中继或代理机制实现各方仅获取完成其职责所必需的最小元数据。
不可链接性设计要求避免在令牌中使用全局用户标识符，若需追踪账户应使用每服务成对生成的假名标识符，并定期轮换加密密钥以限制长期关联分析。
安全存储与密钥管理层面，长期 secrets 与 KYC 数据应存放于硬化分段环境中，实施严格的访问控制与监控，建立完善的密钥轮换、撤销与事件响应机制。
落地实施的关键参数
在工程实践中，建议采用以下具体参数：令牌有效期控制在 15 分钟至 2 小时之间，具体时长取决于业务场景的敏感程度；使用 RS256 或 ES256 等算法对令牌进行密码学签名；验证响应中仅返回 age_verified 布尔值与 unix 时间戳；会话标识符每 24 小时轮换一次；数据库中不存储任何可追溯至真实身份的映射表。
开展数据保护影响评估（DPIA）是强制要求，因年龄验证涉及对未成年人的系统性监测。评估文档应明确法律依据（通常为法律义务或合法利益，而非未成年人同意）、选择当前方案相较于其他方案的比例性论证，以及技术组织安全措施清单。
年龄验证的数据保护架构本质上是信任与隐私的权衡艺术。通过将敏感的身份证件核验流程转移至独立可信赖的发行方、业务平台仅接收最小化的二元验证结果、采用短期不可链接的令牌机制，可以在满足监管合规的同时，将数据泄露的影响范围控制在最小程度。这一架构的生命力取决于技术实现与治理约束的协同：加密与令牌设计提供技术层面的防护，而清晰的 retention 政策、独立的审计机制与用户可查的使用日志则是治理层面不可或缺的配套。
参考资料
- IETF Age Verification Architecture Draft: https://www.ietf.org/archive/id/draft-knodel-age-arch-00.html
- 2B Advice: EU age verification data protection compliant age verification under the Digital Services Act: https://2b-advice.com/en/2025/08/13/eu-age-verification-data-protection-compliant-age-verification-under-the-digital-services-act/