加州参议院8月26日以39票对0票通过了AB 1856修正案，众议院次日一致性表决跟进。这份修正案把用GPL、MIT、BSD、Apache等开源许可证发布的操作系统，从加州《数字时代保障法》的年龄验证义务里摘了出去。Debian、Fedora、Ubuntu、Arch这些社区发行版,以及背后的开源生态,由此避开了一场原本要在2027年1月1日落地的合规负担。
这条新闻的第一层意思很清楚：开源赢了一局。但更值得琢磨的是，这一局到底赢在哪，又没赢到哪。法案文本改的是"操作系统提供者"的定义，不是给Linux单独开一道后门，也没有解决母法本身的争议。而参议院自己的两份官方记录，一份写39-0，一份写40-0——连投票结果都对不齐，这种细节原文压根没提。
豁免条款到底豁免了什么
母法AB 1043要求Windows、macOS、iOS、Android在账户设置阶段收集用户年龄，再通过API把年龄分级信号（未满13岁、13-15、16-17、18+）传给应用商店和开发者。这套机制对中心化厂商是可执行的：微软、苹果有账户体系,有能力在系统层面弹出年龄询问。
Linux发行版没有这套东西。没有统一账户、没有强制注册,谁来问年龄、谁来传信号,原法根本没写清楚。AB 1856的解法是修改《民法典》第1798.500(g)(2)条,把"许可条款允许接收者复制、再分发和修改软件"的系统整体排除在"操作系统提供者"之外。这个定义没点名任何具体许可证,但GPL、MIT、BSD、Apache全部满足条件,连带apt、pacman这类包管理器分发的库和依赖也一并豁免。
- 结论.豁免的是"操作系统提供者"这个法律身份，不是"用户免于被问年龄"这件事——应用层的年龄信号义务原封未动。
SteamOS的身份还没定
原文把这次豁免写成开源阵营的整体胜利,顺带默认SteamOS也跟着解决了。实际情况没这么干净。
SteamOS的系统组件基于Arch,是开源的,理论上满足豁免条件。但Valve在上面捆了专有的Steam客户端,品牌和客户端的再分发也需要Valve授权。这就是一个开源内核加专有外壳的混合产品,而AB 1856的豁免条款是按"许可证性质"划线的,没有专门处理这种混搭情况。
监管机构会不会把SteamOS当成一个整体来看待,还是拆开来只豁免底层系统、单独管专有客户端,目前没有答案。这个问题不会自动消失,Steam Deck这类设备的用户规模摆在那,迟早需要一个明确说法。
撤回反对不等于认可母法
EFF（电子前沿基金会）今年3月还公开批评过年龄验证机制,这次却撤回了反对立场。原文把这个转变一笔带过,容易让人以为EFF松口了。真实的脉络是:AB 1856原本还想把年龄信号机制扩展到网页浏览器和网站,这条扩展在2026年7月被删除,EFF反对的正是那部分,删掉之后才撤回反对。
母法本身的问题EFF一个都没松口:自报年龄加API分级信号的整体框架还在,过失违规每名受影响未成年人罚2500美元、故意违规罚7500美元的处罚机制也还在。EFF担心的是这套机制会不会倒逼厂商用比法律要求更严格的实名认证或生物识别手段来"保险",这个顾虑跟这次修正案完全无关。
法律豁免的是身份，挡不住"没有年龄信号就被拒绝服务"的现实排除。
还有一层原文没触及的悖论:开源代码天生可以被复制、修改、再分发,这是GPL类许可证的核心特征,也正是它换来豁免的理由。但同一个特征意味着任何人都能把年龄信号相关代码直接删掉再发布一个分支。法律豁免解决的是"要不要强制收集年龄"的问题,解决不了"这套机制在开源世界里到底能不能真正执行"的问题。
- 风险.即便系统层面拿到豁免，用户在应用层仍可能因为提供不了年龄信号，被开发者出于合规审慎而主动限制或拒绝访问，这种功能性排除法律条文管不到。
接下来该盯什么
法案现在处于"缮写归档"阶段,还没送到州长纽森桌上正式签字。纽森去年10月签了原始法案,大概率也会签这份修正案,但"两院通过"和"州长签署生效"是两件事,原文标题的"通过"容易让人误以为已经落地。
真正决定这件事分量的,是2027年1月1日之后的执行细节:SteamOS怎么归类、专有系统厂商的年龄信号API做成什么样、开发者拿到信号之后怎么用。这些问题一个都没被这次修正案回答,开源阵营这一局赢的,是最容易识别的那道合规缺口,不是年龄验证背后关于隐私和匿名性的整场争论。