Utah SB 73：核實位置以符合年齡驗證合規要求

猶他州的年齡驗證規定（SB 73）要求營運方對放行不符資格的用戶通過年齡驗證負責。大多數團隊忽略的一點是：單純的位置檢測並非站得住腳的措施，因為最容易讀取的信號，往往也是最容易偽造的信號。

法律實際要求什麼

撇除細節，餘下的其實是兩項義務。第一，在授予存取權限之前，採取相稱的技術手段核實用戶身分。第二，須能夠證明確實已採取該措施。一個只顯示「已放行」、背後卻沒有任何依據的標記，無法通過第二項檢驗。

正是第二點讓不少團隊失手。即使建立了完美的驗證環節，若記錄可於事後修改，或根本不存在，審核時依然會不合格。

為何單純的地理位置檢測過不了第一關

IP 地理位置檢測 在國家層級上相當可靠，直至有人接入 VPN 為止。此時讀取到的位置屬於 VPN 伺服器，而非用戶本人。改變表面上的 IP 位置正是 VPN 的核心用途，因此在未檢測偽裝行為的情況下信任地理位置檢測，等同信任了最容易被偽造的信號。

真正站得住腳的措施

1. 讀取來源，然後使用 VPN 檢測 及代理檢測判斷是否存在偽裝。VPN、住宅代理、 資料中心 IP 段或 Tor 出口節點，均代表該位置不可信。
2. 將判定結果對應至具體行動。 在猶他州這類嚴格的監管制度下，年齡驗證環節中偵測到的偽裝來源應予以攔截， 或升級至更強的驗證方式，而非直接放行。
3. 封存結果。 將每次檢測寫入不可竄改的記錄，以便日後證明相關檢測確實已經執行，以及其結果為何。

為何記錄必須具備防竄改能力

一份可被悄然修改的審核日誌，並不能證明任何事情。解決方法是雜湊鏈：每條記錄都會保存上一條記錄的雜湊值，連同 本次檢測的資料一併儲存。只要修改歷史記錄中的任何一行，其後的每個環節都會斷裂，驗證程序會即時發現這一點。這 正是「我們有日誌」與「我們能證明這份日誌從未被更動」之間的分別。

這正是 Provenance 在一次伺服器端呼叫中所完成的工作：它運行著與我們的 VPN 及代理檢測相同的 引擎，按司法管轄區套用相應政策，並將每個判定結果封存至一條雜湊鏈式審核日誌，可匯出作為已簽署的證據。

一個實際可行的驗證方案

總結

Utah SB 73 並不能單憑一次基於 IP 的國家推測而滿足。應偵測來源是否被偽裝，依判定結果採取行動，並保留一份 任何人都無法改寫的記錄。將此項技術控制與你的年齡驗證服務商及法律顧問的意見結合，並隨時備妥證據匯出功能， 以應對日後有人查詢你當時是如何檢測的。