要实现“毛片未成年人保；；ぁ，，，不可只在页面增添一个“我已满18岁”按钮。。。较可靠的做法是把保；；げ鸪伤母隹裳橹せ方冢耗谌萑肟馍蠛恕⒂没晁暧胱矢衽卸稀⒉シ攀谌ā⒕俦ㄓ肷蠹啤。。任何一环返回“未知、失败或保存未成年人线索”，，，系统都不应继续提供果真会见，，，而应转入拒绝某人工复核流程。。。下文给出一套可落地的内部接口左券，，，适用于提供正当成人内容的内容平台；；；涉及未成年人的性聚敛内容必需阻挡、下架并依运营地执法清静台流程处置惩罚。。。
先确定保；；つＷ樱耗谌葑刺突峒刺牙胫卫
开发时不要把“视频已审核”和“用户已成年”合并成一个布尔值。。。前者形貌内容能否被平台分发，，，后者形貌目今用户是否有权会见，，，两者缺一不可。。。建议使用自力状态，，，并由效劳端天生最终会见决议。。。
| 工具 | 建议状态 | 处置惩罚寄义 |
|---|---|---|
| 内容审核 | pending、approved、rejected、quarantined | 待审、允许分发、拒绝分发、隔离视察 |
| 用户年岁 | unknown、minor、adult、verification_failed | 未知、确认未成年、完成成年验证、验证失败 |
| 会见决议 | allow、deny、review | 允许、拒绝、要求进一步处置惩罚 |
| 依据版本 | policy_version | 纪录作出决议时使用的规则版本，，，便于复盘 |
内容状态应由审核效劳维护，，，年岁状态应由账户或资格效劳维护，，，播放效劳只接受最终授权效果。。。这样纵然前端被修改，，，用户也无法绕过效劳端判断直接取得视频地点。。。
若是平台允许上传或编辑内容：先做入库阻挡，，，再天生播放资格
上传型平台的主要问题不是“播放页怎么遮挡”，，，而是未经审核的文件可能已经被果真会见。。。上传完成后，，，文件应先进入私有存储和审核行列，，，不得直接生功效然链接、缩略图或搜索索引。。。
- 上传接口只返回内部的 asset_id 和审核使命编号，，，不返回可恒久会见的媒体地点。。。
- 审核前榨取泛起在推荐、搜索、谈论、分享和播放列表中。。。
- 审核效劳至少检查内容分类、年岁相关线索、重复文件指纹、上传者声明和须要的人工复核效果。。。
- 无法判断或检测效果冲突时，，，状态坚持为 pending 或 quarantined，，，不应按“暂时放行”处置惩罚。。。
- 只有 approved 内容才允许由播放效劳签发短时效、绑定用户的播放凭证。。。
下面是一个推荐的内部接口示例。。。它是平台自界说的左券，，，不代表某个现成第三方接口已经提供这些能力。。。
| 项目 | 约定 |
|---|---|
| 请求 | POST /v1/moderation/jobs |
| 须要字段 | asset_id、uploader_id、media_sha256、declared_category、policy_version |
| 响应字段 | job_id、status、decision、reason_codes、next_action |
| 状态约束 | pending 不可播放；；；approved 才华进入授权判断；；；rejected 和 quarantined 不得果真 |
| 幂等规则 | 相同 asset_id 和规则版本重复提交时返回统一审核使命，，，阻止重复入队 |
审核回调也应由效劳端验证署名，，，并检查 job_id、asset_id、效果版本和时间戳。。。不可仅由于客户端传来“审核通过”字段，，，就将内容状态改为 approved。。。审核效果还应保存最小须要的 reason_codes，，，例如“年岁线索不明确”“资料不完整”或“规则掷中”，，，阻止在通俗营业日志中生涯敏感媒体细节。。。
若是平台只分发已审核内容：重点放在年岁资格和播放授权
分发型平台没有上传审核压力，，，但仍然不可把“视频已审核”看成“所有用户都能看”。。。会见判断应爆发在播放凭证签发之前，，，而不是视频已经最先传输之后。。。页面可以展示问题和须要的合规提醒，，，但受限媒体的真实地点、密钥或完整封面不应提前下发。。。
- 用户未登录、年岁状态 unknown 或 verification_failed 时，，，返回 deny 或 verification_required。。。
- 账户已完成成年资格确认时，，，还要检查地区、内容分级、账户状态清静台战略。。。
- 未成年人账户不可通过修改前端参数、切换装备或伪造年岁字段获得播放凭证。。。
- 会见资格爆发转变后，，，已签发的凭证应能被作废或在较短时间内失效。。。
- 缓存键必需区分用户资格，，，不可让已授权用户的响应被未授权用户复用。。。
播放前可以设计如下内部决议接口：
| 项目 | 约定 |
|---|---|
| 请求 | POST /v1/access/check |
| 输入 | user_id、asset_id、region、client_context、policy_version |
| 允许响应 | decision=allow、playback_token、expires_at、policy_version |
| 拒绝响应 | decision=deny、reason_code、recheckable |
| 异常响应 | decision=review 或 verification_required，，，不返回媒体地点 |
播放效劳应把会见接口视为唯一授权泉源。。。前端只能凭证 decision 展示界面，，，不可自行推导“没有 reason_code 就代表允许”。。。昔时岁效劳暂时不可用时，，，默认应是拒绝或暂停授权，，，而不是为了可用性自动放行。。。
检测到未成年人线索或效果不确准时：隔离优先于诠释
这是实现中最需要明确的分支。。。只要内容中泛起未成年人相关线索、年岁无法确认、授权质料缺失，，，或自动审核与人工审核结论纷歧致，，，就应进入 quarantined 或 review 状态。。。此时系统的目的不是继续优化推荐，，，而是阻断撒播并保存合规处置惩罚所需的最小审计纪录。。。
- 连忙作废已有播放凭证，，，阻止推荐、搜索曝光和分享撒播。。。
- 限制原始文件、审核纪录和举报资料的会见规模，，，只允许授权的合规与视察职员会见。。。
- 纪录事务编号、状态变换时间、规则版本、操作者和系统决议，，，不在通俗日志中写入敏感内容。。。
- 凭证运营地执法、执法协作要求清静台内部流程举行报告、生涯或删除，，，不由前端开发职员自行判断执法结论。。。
- 对举报人只返回“已收到并处置惩罚中”等最小信息，，，阻止泄露受影响工具或视察细节。。。
这里不应设置“审核超时自动通过”的降级战略。。。自动分类器只能作为筛查或排序工具，，，不可替换须要的人工复核和执法流程；；；年岁识别模子也不应作为唯一放行依据，，，尤其不应把单次图像年岁预计当成确定的成年证实。。。
接口左券中必需牢靠的清静界线
为了让客户端、审核效劳、账户效劳和播放效劳坚持一致，，，建议统一以下字段和规则：
- decision 只允许预先界说的枚举值，，，榨取用恣意字符串表达授权效果。。。
- reason_code 使用不袒露敏感细节的代码，，，例如 AGE_UNKNOWN、CONTENT_REVIEW、POLICY_BLOCK。。。
- request_id 和 trace_id 必需贯串上传、审核、授权和播放日志，，，便于定位绕过路径。。。
- expires_at 由效劳端天生，，，播放凭证设置合理的短时效，，，并支持自举措废。。。
- 过失响应不可泄露“内容是否真实保存”或审核模子的详细规则，，，阻止被重复试探。。。
- 身份信息、证件信息和年岁证实只保存完成决议所需的最小效果；；；原始质料的生涯限期、加密和会见权限应单独制订。。。
若使用事务通知，，，可界说 content.reviewed、user.age_status_changed 和 access.revoked 等内部事务。。。事务消耗者必需支持重复投递、乱序抵达和重试，，，不可由于一次往事务就把 quarantined 内容恢复为 approved。。。
从开发到安排的验证顺序
- 先建设状态机和数据表约束，，，确认哪些状态可以相互转换，，，尤其榨取 pending 直接酿成可播放。。。
- 再实现审核使命接口和年岁资格接口，，，使用牢靠测试数据验证 allow、deny、review、超时和效劳不可用场景。。。
- 接入私有存储、短时效播放凭证和作废机制，，，确认前端、CDN 缓存及下载接口都不可绕过 access/check。。。
- 增添审计、告警和人工复核行列，，，重点监控异常放行、重复举报、授权失败率和状态回退。。。
- 上线前举行权限测试：未登任命户、未成年账户、年岁未知账户、被封禁账户和已作废资格账户都应无法取得媒体凭证。。。
最终链路可以简化为：文件或内容先进入私有区，，，审核效劳给出内容状态；；；用户请求播放时，，，账户效劳提供年岁资格；；；授权效劳同时检查内容状态和用户状态；；；只有两者均知足战略要求，，，播放效劳才签发短期凭证。。。这样的搭建方法，，，才华把“毛片未成年人保；；ぁ甭涫滴刹馐浴⒖缮蠹啤⒖勺鞣系慕涌谛形，，，而不是停留在页面提醒或用户自我声明上。。。
