用分层默认值、控制与申诉保护未成年人

用年龄适配状态启动，不建立过度身份档案

应用应通过有记录、与风险相称的年龄确认方法决定展示哪种体验，并向账户持有人显示当前年龄分组、结果可信范围或待确认状态。如果更简化的结果已经能支持功能，就不应因为核验过一次而长期保留完整身份证件。年龄不确定时，默认关闭公开发现、陌生联系、定向个性化、精确位置共享和直接消费路径。用简明文字说明核对什么、哪个处理方参与、只返回什么结果、各项保留多久以及怎样更正错误。不得在没有清楚目的和复核的情况下从私人对话推断年龄。负向测试可以输入前后不一致的出生日期，检查敏感设置是否暂停并提示更正，而不是静默走向宽松路径。

把默认隐私和数据最小化做成初始状态

未成年人账户初次进入时，资料可发现性、联系权限、搜索展示、精确位置、语音或图片再利用、广告个性化和跨设备共享应关闭或处于最严格可用状态。设置页把每个数据类别和眼前用途放在一起，删除只是“以后也许有用”的字段。只有用户调用相关功能时才请求权限，并提供不交出可选信息的替代路径。保留期限或触发事件可见，更正与删除从同一账户区域进入。ICO儿童守则把高隐私默认值和数据最小化列为核心设计标准。负向测试同时拒绝通讯录、位置和麦克风，私人基础功能仍应可理解，应用也不能反复施压要求开启。

分别设置内容、联系和分享边界

保护机制不能只剩一层内容过滤。AI回复、公开资料、群组空间、直接联系、上传、外链和站外分享都需要独立规则。较低年龄组或年龄待确认账户默认不可被发现、不可被陌生账户联系。陌生请求、转移到其他渠道、批量分享和重复联系要增加摩擦，并提供清楚的屏蔽、举报与证据收据。内容规则用年龄适配例子说明命中后会发生什么：展示前阻断、调整、交给用户选择或进入复核。审核流程不能要求未成年人继续互动才能获得保护。测试屏蔽一个账户后，检查搜索、推荐、旧线程、新账户和通知中是否再次出现。

给消费和说服性设计设硬边界

应用不能利用陪伴关系、注意力、进度、限时压力或公开比较把互动变成消费提示。未成年人账户要用普通货币显示价格，购买前展示摘要，并在产品要求时经过独立监护确认；同时提供收据、取消或争议入口，以及不可购买时的明确状态。不确定奖励、自动续费含糊、默认加购、伪装广告和拒绝后反复推送都应进入设计审查。免费获得与付费物品分开，并说明角色回复是否会因付费改变。负向测试覆盖不可购买、监护拒绝、付款中断和退款询问。任何结果都不能剥夺普通访问、用羞耻推动付款或显示虚假的成功状态。

提供监护支持，但不制造隐形监视

监护入口要说明有哪些控制、未成年人能看到什么、哪些事件触发通知，以及哪些私人区域仍保持私密。不要默认让面板读取全部对话，也不要把普通使用变成持续监看。账户设置、联系权限、公开分享、消费、关联设备和使用时段可以采用分级控制，并在操作处解释原因和范围。控制变化时双方都收到符合年龄的说明，也都能更正错误年龄分组、不当限制或被破坏的监护关联。恢复监护关系时验证必要关系，但不能要求未成年人交出无关对话内容。若既定流程会通知监护人，未成年人界面不能把举报或更正描述成秘密。

让举报和申诉走到可理解的终态

消息、资料、消费、隐私设置和监护控制页面都要能发起举报。收据记录提交内容、可选证据、是否已立即屏蔽、可能由谁复核以及在哪里看状态。终态包括已处理、未处理并说明理由、无法复现、需要补充、限制解除、申诉接受或驳回。对影响账户或访问的重要限制提供人工复核，并分别用未成年人和监护人能理解的方式说明。eSafety安全设计原则强调用户赋权、问责和持续评估。用一个无害且可复现的不一致，从提交一路检查回执、状态、决定、申诉和关闭；沉默或客服承诺都不是终态。

持续审查年龄迁移、处理方与失败状态

账户跨过年龄分组、更换监护关联、增加设备、开放公开功能、安装更新，或从文字进入语音、图片和通知时，保护机制都可能失配。建立矩阵记录功能、默认值、使用数据、处理方、监护可见范围、未成年人控制、举报路径、失败状态和最近测试日期。只有发生实质变化的控制才重新确认，不能因为生日经过就自动解锁更广资料。测试年龄迁移的两个方向、监护人失去访问、离线状态、复核延迟和处理方故障。发布易懂变更说明，并保留挑战迁移错误的入口。再完整的披露也不能抵消实际默认值或后端状态与说明不一致。

继续探索这个主题