2026年9月24日，犹他州的联邦法官大卫·巴洛暂停了SB 73法案中要求网站识别访问者真实位置的部分，即使是在使用VPN或代理的情况下。法庭的主要论点几乎是工程化的：现在并不存在理想的IP地理定位，而法律正是要求这一点。预计到10月底，英国的Ofcom将发布有关识别VPN的建议。以下是我们分析法庭的裁决、与英国立场的区别，以及对从事地理依赖服务、数据抓取和代理的人的影响。
犹他州法庭的裁决
起诉方是Aylo（Pornhub及其他成人网站的所有者），案件Aylo Freesites Ltd v. Utah，编号2:26-cv-00340。受到影响的条款是78B-3-1002(3)，这是2026年修正案中添加的。该条款将实际位于犹他州的访问者视为该州居民，即使其位置被VPN或代理隐藏。网站需对此类用户负责。
法庭发出了初步禁令。主要论点包括：
- 条款中没有“合理努力”的例外。 从形式上讲，网站对每一个漏掉的用户负责，即必须无误地进行地理定位。双方都同意，理想的地理定位是不可能的。
- 对州外商业的负担。 由于无法准确区分使用VPN的犹他州居民与西雅图或上海的居民，网站将不得不对全球所有访问者进行年龄验证。裁决中提到的数字是：Aylo需要验证2800万用户。法庭认为，这可能违反了美国宪法中所谓的“沉睡的”商业条款（dormant Commerce Clause）。
- 州有更不繁重的方式来保护未成年人。
犹他州反驳称，法律要求的不是完美，而是合理的措施：可以通过设备设置和账户活动推断出可能使用VPN的情况。法庭回应称，分析的是立法机构通过的法律文本，而不是总检察长建议的应用方式。
仍然有效的内容
- 成人网站的主要责任是以“合理的方法”验证年龄仍然有效。
- 禁止这些网站透露如何通过VPN绕过验证的条款，Aylo并未对此提出异议，该条款也仍然有效。
- 9月1日发布的R152-78B执行规则，预计于10月8日生效，在法庭禁令有效期间无法执行。
- 双方同意将诉讼推迟到2027年犹他州立法会议结束：预计法律将被重写。
背景：截至2026年8月，美国已有27个州通过了针对成人内容的年龄验证法律，但只有犹他州试图直接要求网站识别使用VPN的用户。我们在文章中分析了这一条款在法庭之前的情况，以及它为何促使网站大规模封锁IP。
为何IP无法准确指示个人位置
法庭的结论在技术上是正确的，并且超出了成人网站的范围。IP地理定位是一种基于数据库的概率评估，而不是测量。网站只能看到请求来源的地址。如果流量通过VPN或代理，这就是中间服务器或其他设备的地址。
即使没有VPN，准确性也不高。根据MaxMind（最大的地理数据库之一）的数据，在美国，50公里范围内大约有60%的IP地址能够被正确识别，另有33%与城市相关，但误差超过50公里，而有7%的数据根本没有城市级别的信息。该公司特别说明，不保证未来的准确性。
错误由多个层次叠加而成：
- 将区块与注册地区绑定。 提供商可能在一个城市注册子网，但将其分配给其他城市的用户。
- 移动NAT。 在移动运营商中，多个用户共享一个公共IP，而互联网连接通常通过其他地区的节点进行。
- 企业网络和云服务。 在犹他州的员工通过办公VPN看起来像是来自加利福尼亚总部或数据中心的用户。
- 数据库更新延迟。 子网在提供商和国家之间转移，而数据库需要几周才能跟上。
因此，任何“准确识别”的要求都受到网络物理学的限制。犹他州的法庭实际上是第一个在VPN裁决中确认这一点的法庭。
英国采取不同的路径
在英国，根据在线安全法，年龄验证自2025年7月25日起生效，罚款可达1800万英镑或全球收入的10%。用户的反应是立竿见影的：Proton VPN在英国的注册在规则生效当天增长了1400%，而该应用在英国App Store中短暂超过了ChatGPT。
当局的立场相对谨慎：
- 2026年7月15日，技术部长莉兹·肯达尔在议会中表示，政府不会禁止VPN，也不会对其实施年龄验证。
- Ofcom明确表示，该法律不赋予其要求阻止VPN的权力。
- 在2026年7月的报告中，监管机构承认，没有任何年龄验证方法可以完全排除绕过，并建议采取多层次的方法，包括应用商店和设备级别的控制。
- 同时，Ofcom被指示在2026年10月底之前发布关于服务提供商可以采取的识别和防止使用VPN的建议。
也就是说，英国模式并不是“完美地进行地理定位，否则将面临罚款”，而是“采取合理措施”。行业分析已经为服务提供商描述了三种状态的方案：用户确实来自英国（适用要求）、用户确实不来自英国（违法），以及“无法验证位置”——对该组中的所有人进行年龄验证的单独风险决策。
网站将如何识别VPN和代理
无论是美国法庭还是英国监管机构都没有取消网站继续标记可疑流量的要求。典型的信号集合包括：
- 托管的ASN。 来自云和数据中心（如AWS、Hetzner、OVH、M247等）的地址首先被标记：普通家庭用户不会使用这些地址。
- VPN服务器列表。 许多VPN公开其服务器地址，其他地址则可以通过连接服务轻松收集。
- IP上的用户密度。 短时间内从一个地址发出的数百个不同账户表明这是一个出口节点。
- 不匹配。 浏览器的时区、系统语言、键盘布局、支付卡的区域与IP国家之间的对比。
- 行为和账户信号——这正是犹他州在法庭上提到的。
重要的是，所有这些方法提供的是概率，而不是证据。误报是不可避免的：企业VPN用户、移动运营商的用户、旅行者和需要地理位置进行业务的自动化系统都可能被错误标记。
这对从事地理业务的企业意味着什么
这一裁决涉及成人网站，但影响更为广泛。IP地理定位被用于定价、内容许可、反欺诈、广告验证和搜索结果监控。以下是几个实际结论。
如果您是服务提供商
- 不要仅仅依赖一个地理数据库来满足要求。 即使没有VPN，美国每三个位址可能就会与错误的城市绑定。对于具有法律后果的决策，需要记录您采取了哪些“合理措施”。
- 考虑第三种状态“未知”。 二元的“我们的地区/不在我们的地区”在移动和企业流量上效果不佳。
- 对比多个来源。 不同的数据库可能对同一地址的识别结果不同。我们在实际地址上比较了IPQS、Scamalytics、IPinfo等检查工具。
如果您在按地区收集数据或验证广告
- 数据中心地址将首先被封锁。 年龄验证法案的浪潮和监管机构的建议促使网站整体封锁托管的ASN。对于需要从当地用户视角查看网站的任务，选择国家和城市的住宅代理是合适的：地址属于所需地区的家庭提供商。
- 移动地址对封锁更具韧性，但城市准确性较差。 由于运营商的NAT，网站看到的地址是多个用户共享的，因此封锁成本高。如果关注的是地区而非具体城市，移动代理是可靠的选择。
- 检查您的IP在多个数据库中的“位置”。 网站可能使用的数据库与您的检查工具不同，可能显示不同的地区。在大规模收集之前，先进行测试请求并比较目标网站返回的本地版本。
- 确保浏览器指纹与IP一致。 时区、语言和区域应与出口国家相符：不匹配的情况比IP本身更容易被捕捉。
接下来会发生什么
接下来需要关注的事件：
- 2026年10月底——Ofcom关于识别VPN的建议。主要问题是：这些建议中是否会出现具体的技术方法，还是仅仅停留在“合理措施”的公式上。
- 2027年犹他州立法会议——法律很可能会被重写，加入合理努力的条款。届时争论将从“是否可以要求完美”转向“什么算是合理”。
- 其他州——EFF已经表示将对类似的提案提出异议，但年龄验证法仍在扩展到社交网络。
结论
犹他州的法庭确认了网络工程师早已知道的事实：IP是位置的提示，而不是证据。立法者可以要求网站采取合理措施，但不能要求完美的地理定位。这对企业意味着两件事。服务提供商应建立地理逻辑，留有错误的余地，并考虑第三种状态“未知”。而需要诚实访问本地搜索结果的人则必须更加严格地监控地址质量：在监管压力下，网站将更频繁地封锁数据中心，并优先信任住宅和移动IP。