2026年6月29日，技术博客作者Panayotis Vryonis发了一篇文章，标题就叫《欧盟年龄验证有什么问题？》。他的回答只有一句话：“说实话，没什么问题。”
这篇文章在程序员社区Lobsters上引发了169条评论，最高赞评论拿到94票，而反驳这条评论的帖子也累积了73票。双方都没能说服对方。
笔者把这场争论从头到尾看了一遍，发现它比”保护孩子vs侵犯隐私”的老套路要复杂得多。欧盟这套方案在技术上确实下了功夫——但反对者的担忧，也不全是杞人忧天。
欧盟到底要干什么？
事情不复杂：欧盟想建一套系统，让网民在访问某些网站（成人内容、赌博、酒精销售等）前，先证明自己已经成年。
听起来像是把线下买酒要查身份证的逻辑搬到了线上。但线上的问题在于：你怎么证明一个坐在屏幕后面的人是成年人，同时又不能把他的身份证、姓名、生日、照片全部交出去？
过去很多网站的做法就是——直接让你上传身份证照片或者自拍。这也正是隐私倡导者最害怕的那种”年龄验证”。一个成人网站拿到了你的名字、生日和身份证号，这事儿想想就让人后背发凉。
另一种常见方式是”用第三方登录”——用你的银行账号、Google账号或Apple账号来验证。这倒是避免了网站拿到你的证件，但换来了一个新问题：身份提供方知道了你访问了哪些网站。 银行知道你去了赌博网站，Google知道你去了成人网站——这同样让人不安。
技术上的优雅解法
欧盟方案的核心思路是：只证明需要证明的事，别的一概不说。
技术博客作者Vryonis在文章里用了一个很形象的比喻：你拿着身份证去政府部门，他们验证你的年龄后，给你发一张只写着”此人已满18岁”的卡片——没有名字、没有生日、没有身份证号。你去酒吧，亮这张卡就行，酒吧只需要验证这张卡是真的，而不需要知道你是谁。
数字版本也一样，只不过用密码学代替了纸质防伪。大致流程是：一个被授权的认证机构验证你的年龄后，签发一份数字凭证，凭证上只写”年龄≥18岁”和一个有效期。这个凭证被加密签名。网站收到凭证后，只需要验证签名是否来自可信机构，不需要联系认证机构，认证机构也不知道你把凭证用在了哪里。
更进一步，欧盟还在方案中引入了”零知识证明”（Zero-Knowledge Proof，简称ZKP）。简单理解就是：你可以向网站证明”我有一张由可信机构签发的、证明我已满18岁的凭证”，而网站连凭证本身都看不到，只能验证这个声明的真假。
用Vryonis的话说：“你给网站的不是身份证、不是生日、也不是签名年龄凭证——你给的是一个密码学证明，证明你持有可以证实’我已满18岁’的有效凭证。网站能验证证明，但对你是谁一无所知。”
这套系统建立在欧盟数字身份钱包（eIDAS 2.0框架下的EUDI Wallet）架构之上，与《数字服务法》（DSA）配合，目标是让所有欧盟成员国之间互通。根据欧盟的计划，2026年底前各成员国需要完成数字身份钱包的部署。
既然技术这么漂亮，为什么还有人强烈反对？
Lobsters上的讨论暴露了支持方看不到的盲区。
恐惧一：滑坡效应。 获73票的评论”chinmay”说得直接：“今天是年龄，明天就是国籍或真实姓名。“获52票的”mira”补了一刀：“在欧盟钱包还没上线之前，委员会就已经试图让任何’依赖方’能请求你身份证上的任何信息了，同时还在削弱你使用化名的能力。“也就是说，虽然ZKP在技术文档里存在，但它可能只是”贴上去的”，不是系统的核心设计。
笔者查看欧盟官方文档后发现，ZKP确实被列在技术附件中，但描述为”增强型证明格式”。这意味着ZKP是可选功能而非强制要求，商家可以要求你提供完整的签名凭证——虽然不泄露生日和姓名，但凭证本身带有唯一标识，多个网站可以串起来追踪你的访问记录。
恐惧二：一部分人被系统性地排除在外。 “mira”指出，欧洲有数十万人（还没算上游客）根本没有合法身份证件。年龄验证一旦与社交媒体禁令挂钩，这些人将被剥夺线上表达和参与社区的权利。此外，EU数字身份钱包目前只支持Google和Apple认证的手机操作系统，使用其他系统的人被直接排除。
恐惧三：从权利变成特权。 有评论者指出核心问题在于：“年龄验证在互联网上到处设控制闸门。这些闸门控制着谁能在什么时候跟谁说话。即使它们完全保护隐私，它们也把沟通的权利变成了’持有中央签发的访问令牌’的特权。”
恐惧四：共谋风险。 “零知识架构在证明方和验证方合谋的情况下是无效的。“如果多个网站共享数据，或者认证机构与广告商合作，匿名凭证和ZKP都挡不住。“把信息跟其他东西联系起来，有巨大的经济激励。”
还有一个容易忽略的社会维度：有评论者提到”谁来帮爷爷访问他的成人内容？“技术门槛对老年人和不熟悉数字设备的人，确实不公平。
支持方怎么说？
获94票的最高赞评论来自”czarkoff”，他的立场很明确：“如果你在原则上反对年龄验证，任何方案对你来说都是坏的。我确认这一点。”
Vryonis在原文中也花了大篇幅论证”为什么需要年龄验证”：9岁、10岁、14岁的孩子不应该在没有任何限制的情况下随意浏览互联网。小孩子还在发展认知、情绪、社交能力，面对操纵、成瘾循环、色情内容、赌博机制、诱骗、骚扰、算法激进化——这些连成年人都经常应付不过来。
“我们已经在线下接受年龄限制——小孩不能开车、不能喝酒、不能赌博、不能进某些场所。认为互联网的某些部分也应该有年龄限制，并不荒谬。”
真正的难题是：如何在不上网设身份检查站的前提下执行年龄限制。
真正的分歧在哪里？
笔者读完全部讨论后，发现支持和反对双方其实不完全是”保护孩子”和”保护隐私”的对立。
更深层的分歧在于对”技术能否约束权力”的判断。
支持方认为：如果技术方案设计得当（ZKP + 选择性披露 + 去中心化信任），隐私可以得到技术性保障。欧盟正在朝这个方向走。
反对方认为：不管你技术多漂亮，一旦建立起”上网先验身份”的基础设施，权力的扩张几乎是必然的。今天是”你是否满18岁”，明天可能就是”你是否有权访问这个新闻网站”——制度惯性必然推动这种扩张，技术能不能做到并不是瓶颈。
Vryonis自己也承认：“这可能是走向大规模在线监控的第一步……它可以是。“他的建议是把焦点从”反对年龄验证”转向”监督年龄验证的实施”——推动审计、开源实现、反指纹追踪、禁止集中日志、确保ZKP是强制而非可选。
但Lobsters上的批评者觉得这太天真了——技术和制度是两回事，而制度的历史记录并不站在乐观者这边。
这件事跟我们有什么关系？
中国读者可能会觉得这是欧盟的家务事。但年龄验证不是一个地域性问题。英国已经有了《在线安全法》，澳大利亚也在推类似制度。一旦欧盟这套系统大规模运行起来，它将成为一个全球范本——无论好坏。
Vryonis文章的最后一句话，可能是这场争论里唯一双方都会认同的：
“真正难的是：如何在不上网设身份检查站的前提下去执行年龄限制。”
而169条评论之后，这个问题仍然没有一个让所有人都满意的答案。
参考链接：