证明"住在同一处"有多难：共享账号治理的四类证据与误伤
一、难的不是判定，是判定完之后
据公开报道，一家流媒体平台在严查家庭套餐共享，部分用户收到重新验证住址的提示，验证要当面完成：家庭成员扫描管理员手机上的二维码，以此确认双方住在同一处。这件事的正当性与定价我们不讨论，用户规模与处罚数字来源也没给，同样不猜。要拆开看的是它的方法结构：怎么证明几个人真的住在一起。
这个问题对做产品的人很眼熟，因为它不是特例，而是所有身份与位置类授权判定的共同形态。任何一条判据在被写进规则时，都必须同时报出四个属性：证据强度（它在多大程度上支持结论）、可伪造性（要被打破需要付出什么）、误伤面（有多少正常场景会被它判错）、能否申诉（判错之后有没有纠正通道）。多数争议不是出在判据不准，而是出在前两个属性被认真讨论、后两个被跳过。一条没有申诉通道的判据，无论准确率多高，都会在用户侧被体验成一次不可解释的处置。
二、四类判据各自会被什么打破
网络位置类，也就是按出口 IP 与网络环境推断是否同住。它的强度取决于网络与住址的绑定紧密度，而这一层恰恰不由用户控制：运营商换址与线路调整会把同一户人家的出口地址换掉；移动网络与家庭宽带混用；出差、探亲、住院，都会让人出现在另一个出口后面；同住的人也可能各自挂在不同的网络上。这一类信号的可伪造性同样不低，本文不写具体手法，只需要承认一点：想用它来卡住刻意的人，效果有限；想用它来确认普通人，噪声很大。
设备类，靠设备标识与安装记录推断是不是同一批人共用一份订阅。它的问题是正常生活里设备一直在变：换机、恢复出厂、系统重装、二手机转给家里人、旧设备借给邻居的孩子看动画。反过来，家庭共用一台电视或一台平板又是常态，设备数量少并不说明没共享。把设备数当成人的数量，判定的方向就会反。
地理定位类，向终端索要定位权限来确认坐标重合。精度问题在最前面：室内定位的分辨率未必能区分同楼层的两户，而同一住址在不同设备上的上报坐标会有偏差。更麻烦的是权限与观感：一部分用户不会授予定位权限，一部分人授予了但不理解为什么看个剧要报坐标。这一类判定即使技术上做得到，也会持续消耗信任。
人工当面确认类，比如让家庭成员到管理员身边完成一次扫码或现场核验。它的证据强度最高，代价在流程重量：老人与未成年人不便，工作日白天的时间难凑，代际之间需要有人到场；异地求学的孩子、长期在外工作的人，会被这条流程直接挡在合规之外。强度最高的一类，恰好是误伤面最集中的一类，这个矛盾不会因为把界面做得更友好而消失。
三、核心交付物：四类判据与四个属性
| 判据 | 证据强度 | 可伪造性 | 误伤面 | 能否申诉 |
|---|---|---|---|---|
| 网络位置与出口地址 | 低到中，依赖网络与住址的绑定紧密度 | 相对容易，且难以区分善意与刻意 | 高，出差、换线路、移动网络都会中招 | 可自助重验，但需要允许解释 |
| 设备标识与安装记录 | 低，设备与人的对应关系本就不稳定 | 中，重置与换机是日常行为 | 高，换机与共用设备两头都错 | 需要允许登记设备变更 |
| 地理定位坐标 | 中，坐标重合的说服力强于其他三类 | 中，且受终端能力限制 | 中到高，权限拒绝者被默认判为可疑 | 必须允许改用当面确认 |
| 人工当面确认 | 高 | 低，到场这件事难以远程替代 | 集中在不便到场的人群 | 需要给出替代通道与时限 |
这张表的用法不是选一条最强的判据，而是看第 3、4 列能否配对。前两类强度低、误伤高，只适合作为提示信号，不足以支撑处置动作；第四类强度高但把大量正常人挡在流程外，适合作为最终确认手段而不是第一道闸。一条判据能不能用来处置，看的从来不是它有多准，而是它误伤之后有没有一条成本可承受的纠正路径。
四、分档处置，以及处置必须带的三样东西
一刀切的做法是把提示与处置绑在一起：一旦判定不通过就中断服务。分档则是把动作拆开，按证据组合的强度给出处置力度，常见四档依次是提示、限功能、要求验证、暂停。
档位之间要有明确的进入条件，条件要写成可核对的组合而不是模型分数。提示只用于单一弱信号，目的是让用户自己发现异常；限功能用于两个弱信号同时成立，例如长期在多个互不相干的出口地址下使用；要求验证用于组合信号强但仍有解释空间的场景；暂停只在前面的通道走完、当事人未响应或明确拒绝配合之后。每一档还要有停留期限，超过期限没有新证据就自动降档，这一条比升档条件更重要。
处置动作带给用户的文字里必须有三样东西：依据哪条判据（哪一类证据、覆盖哪个时段）、纠正路径（可以走哪种验证方式，有没有替代通道）、期限（这次限制到什么时候、需要在此前做什么）。三样缺一样，用户就只能去联系客服，客服又看不到判据，于是一次本可自助解决的核验变成投诉。
五、申诉闭环怎么设计，误伤率怎么进发布指标
申诉不是加一个反馈按钮，它有四段。第一段是自助重验，允许当事人用另一种判据重新证明，比如原本要求定位的改为当面扫码，且重验次数与失败原因要可见。第二段是人工复核，复核人员要能看到原始判据与当时的证据快照，否则复核只是重新拍一次脑袋。第三段是判定错误的补偿与记录，误判成立时不仅恢复权限，还要给出补偿口径并把这条案例回到判据评审里；没有回填的申诉只是消化工单。第四段是把误伤率做成发布指标：每次规则或阈值上线，要报出触发人数、申诉量、申诉成立率与平均处理时长，成立率不降就不放行。
这四项里最常被省掉的是证据快照的留存。用户在三天后提出申诉时，系统若已覆盖了当时的判定输入，双方就只能各说各话。留存期只要覆盖申诉窗口即可，不必长，但必须在。
六、同一套逻辑搬到企业席位治理
企业 SaaS 里的共享账号问题与家庭套餐同构：几个人共用一个登录、通过跳板机把权限传给没买席位的人、外包人员借用正式员工账号、离职者的账号还在被他人使用。四类证据在企业里同样失效，而且失效得更彻底：同一个办公出口下几十个真实用户，出差与远程办公让网络位置失去意义，共用一台跳板机让设备标识不再对应个人。
所以企业场景更适合按动作审计，而不是按位置判定。位置只能证明谁在哪里，动作能证明谁做了什么：登录来源与发起方式、调用了哪些接口、影响的数据范围、是否产生写操作、有没有把内容导出到账号之外。判定单位从这个人是不是在同一处，换成这次操作是否由已授权的身份做出，误伤面就大幅收窄，因为正常使用者不需要为自己没有做过的动作解释。
这也是我们给客户做席位治理评审时的落点。洹拓科技整理这类方案时，只把问题分成三问：能不能列出全部调用身份、能不能把每一次敏感操作归到人、判错之后当事人能不能在不中断工作的情况下纠正。三问里任何一问没有答案，就不要急着把规则上线。规则越硬，误伤越多，这不是执行力度问题，是这类证据本身的结构决定的。