基于年龄的内容限制威胁建模——EIC 2026研讨会总结与洞察

在柏林举行的欧洲数字身份与云大会（EIC 2026）上，我们组织了一场亲自动手威胁建模研讨会，采用LEGO® SERIOUS PLAY®作为引导工具。此次研讨会延续了我们之前在W3C博客中介绍的LEGO® SERIOUS PLAY®威胁建模思路，但聚焦于一个更具体的场景：基于年龄的内容访问限制。

这个选题并非偶然。EIC是为数不多的、能在数字身份市场格局尚未固化时便窥见其走向的场合。2025年的大会上，话题的中心是个人钱包—如何搭建、如何分发，又如何赢得依赖方、政府和用户的采纳。到了2026年，讨论方向变了。AI无处不在，映射到身份领域，就成了智能体身份、非人类用户身份、工作负载身份、委托授权，以及智能体场景下的意图验证。

基于年龄的内容访问限制

这倒不是说人类数字身份已经无人问津，而是更棘手的问题已经扎进了具体的应用场景里。基于年龄的内容限制便是其中之一。

它难就难在，监管方要的是眼下就能落地的方案，可技术架构至今仍悬而未决。一套设计，既要管访问权限，又要顾隐私、匿名性和互操作性，稍有不慎，就可能滑向排斥、监控、审查，或是让同一套基础设施被挪作他用。

2025年10月也印证了这一点——当时W3C与IAB联合举办了一场关于在线内容访问年龄限制的研讨会。那场研讨会的重心放在技术和架构选择上，并没有假定哪条路是唯一的正解。

这就是我们想建模的情况。监管压力之下，人们总想找到一个“标准答案”。但在Web上，一套涉及访问权限、属性证明和匿名性的机制，远不止是实现层面的问题——它改变的是人们使用Web的基本条件。

所以我们换了个切入点：先问自己到底在承受什么样的取舍。然后倒推——从危害到威胁，再从威胁到系统必须保护的属性。

从危害出发

在EIC研讨会上，我们要求参与者不从“谁攻击什么”入手，而是从可能对人、社会及生态系统中的各方参与者造成的危害出发。

视角一变，整个练习的性质就不同了。首要问题不再是签名能不能验证、凭证能不能呈现，而是：谁可能被挡在门外？谁可能被打上标签？谁可能被迫交出超出必要的信息？谁会被拒绝服务？谁又可能面临审查和监控？

我们把年龄验证放在基于年龄的内容限制这个更大的架构框架里来看，只把它当作其中的一项技术组件。从这个角度切入，好处很明显。举个例子，一个人本不该被挡在门外，结果却被拒了——原因可能在于需求编写不当、无法访问所需的凭证提供方、分类错误，或有文档记录但在实践中无法生效的回退机制。

再说监控。威胁可能来自年龄属性的索取方式，可能来自谁在居中协调该请求、谁签发该属性、两个依赖方是否能够关联同一用户，或者同一依赖方是否能够关联该用户的不同交互行为。

这次研讨会让这些问题落了地。一种危害只有在能对应到具体的流程、具体的角色、具体的假设或具体的责任边界时，才对威胁建模真正有用。

把危害翻译成技术语言

复盘的时候，一个很深的感触是：即便是背景差不多的人，面对同一个问题，搭出来的模型也大不一样。

这不是研讨会出了岔子——恰恰是它最有价值的地方。

在数字身份的讨论中，我们常常假设彼此想的是相同的模型：用户、钱包、浏览器、签发方、验证方。当人们手动构建该模型时，差异便显现出来。有的参与者将信任锚点放在钱包中，有的则聚焦于依赖方、浏览器、签发方、监管机构或回退路径。

参与者还指出，三维建模有助于用更少的文字解释概念，也使得讨论架构中的信任、执行和职责所在变得更加容易。

这一点很关键，因为不同的年龄验证架构从来不是等价的。信任放在哪儿、策略怎么落地、哪些信息被摊开、最后的残存风险留给谁——每套方案给出的答案都不一样。

识别威胁只是第一步

研讨会没打算在90分钟里端出一份完整的威胁模型——那既不现实，也没人信。我们想做的，只是展示一条能上手的路径：把假设摆到桌面上，识别危害及其衍生出的社会-技术威胁，讨论取舍，然后把成果汇入去中心化凭证威胁模型。

完成第一轮梳理之后，接下来才是威胁建模中真正关键的问题：我们打算怎么应对？

对于年龄验证而言，答案不可能只是流程末端的一次检查。有些应对措施属于技术架构层面：用户代理的角色、属性最小化、来源绑定、防关联保护、完整性要求，以及验证发生的位置。另一些应对措施则位于协议之外：用户理解、可行的回退机制、审计、争议解决、透明度，以及监管激励不应偏向那些最具侵入性的部署方式。

研讨会最实在的产出，不是列了一长串泛泛的风险，而是我们实际纳入威胁模型的具体结论。尤其是，危害与流程中威胁产生节点之间的关联，以故事形式加以呈现。如果威胁源自架构、经济激励、用户界面与监管压力的共同作用，那么单一的技术缓解措施往往难以奏效。

与此同时，技术分析仍然至关重要。没有它，监管很容易锁定脆弱的架构，使其日后难以调整。

这正是支持W3C就此议题开展工作的重要意义所在。其背后的逻辑很简单：W3C并不制定年龄政策，但它能够在政策和市场压力将技术选择锁定为基础设施之前，提前揭示这些选择。

基于年龄的内容限制注定绕不开争议，因为每一种架构都承载着一种对Web的理解模型。EIC研讨会验证了一个很实在的道理：从危害出发，有助于人们在讨论架构的同时，始终考虑那些将承受后果的人。