> ## Documentation Index
> Fetch the complete documentation index at: https://docs.didit.me/llms.txt
> Use this file to discover all available pages before exploring further.

# 跨机构身份声明：Didit 身份证据报告

> Didit 如何报告来自其他机构的身份证据，且不将任何人标记为欺诈：独立的结果维度，默认关闭共享。

## 本页要遵循的核心规则

人脸是稳定的身份标识，而不是欺诈标签，Didit 不会将其当作欺诈标签使用。

促使我们确立这一原则的正是这样一种情况：一个真实且知情同意的人，试图使用并不属于自己的身份完成验证。这次尝试必须被阻止。但之后，有三类人必须不受影响：同一个人日后用自己合法有效的身份验证时；身份被冒用的那个人（他是受害者，而不是违规者）；以及任何只是长相相似的人。

因此，欺诈含义附着于**身份声明**，身份声明是一个事件，而不是做出声明的人，也不是其所声称的身份。

## 四个维度，四个字段

决策从来不会被合并成一个由系统替您选择的词。以下每一项都会被独立报告，由您决定您的产品如何处理这些项目的组合：

| 维度 | 回答的问题 | 出现位置 |
| - | - | - |
| **输入完整性** | 采集是否为实时的、未经修改的，并且来自真实摄像头？ | 活体检测警告（`LIVENESS_FACE_ATTACK`、`VIRTUAL_CAMERA_DETECTED` 等） |
| **身份匹配** | 此人是否与其声称的身份相符，且比对的是可信参考？ | 该会话中的人脸比对警告与重复人脸警告 |
| **行为与网络证据** | 其他组织是否看到过同一人的身份声明事件，且与证据不符？ | `CROSS_ORG_IDENTITY_CLAIM_PATTERN` |
| **最终决定** | 会话最终处于什么状态？ | 决策 payload 上的 `status` |

活体检测失败、身份不匹配和网络模式，是关于三件不同事情的三种不同陈述。如果把它们读成同一个数字，一张质量不佳的照片就可能被当成指控。

### 身份匹配需要可信参考

只有在存在可信的比对对象时，才会产生 `match` 和 `mismatch`，例如政府证件人像，或已与该人脸牢固绑定的身份。一个没有既有强绑定的电子邮箱地址或电话号码，无法为人脸提供比对对象。在这种情况下，结果是**无参考**，绝不会是 `mismatch`，也绝不会仅凭人脸历史推断出 `match`。

## 跨组织证据能说明什么，不能说明什么

当您所在组织使用 Enterprise 套餐，且其共享模式为 `global` 时，会话可能会触发 `CROSS_ORG_IDENTITY_CLAIM_PATTERN`。
低于 Enterprise 套餐，或共享设置为 `private` 或 `off` 时，跨组织检查不会运行。
身份声明证据只来自同样使用 Enterprise 套餐并全局共享的其他组织。
该警告的含义是：

> 其他参与组织记录了针对同一人的身份声明事件，
> 在这些会话中，所声称的身份与证据不相符。

它**不**表示此人存在欺诈行为，Didit 的任何响应也绝不会这样表述。以下三项保证支撑这一点：

* **若您自己的检查通过，则该警告会被抑制。** 如果本次会话的身份匹配结果为 `match`，则根本不会触发该警告。一个能够凭其自身可信参考成功验证的人，即为已验证；此人过去可能涉及的任何事情，都属于那些声明，而不属于本次声明。
* **它无法导致拒绝。** 可采取的操作是“审核”或“无操作”。将 `cross_org_identity_claim_pattern_action` 设置为拒绝，会被降级为审核，因为关于某人的历史记录可能会引发对当前声明的调查，但绝不能据此拒绝该声明。
* **它仅提供汇总信息。** payload 仅包含涉及的组织数量、不匹配声明的数量、被声称的不同身份数量以及这些事件距今有多久，绝不包含这些人是谁、他们的会话，或他们的任何数据。

`CROSS_ORG_FRAUD_FACE` 是此警告的已停用版本，目前不再触发。保留该值是为了让现有日志和规则仍然可以正常解析；历史记录只是记录，而不是对某人的判断。

## 仅凭人脸查询，返回人员 ID 而非结论

再次识别同一个人，与对此人做出任何判断，是两种不同的能力。仅凭人脸的查询会针对同一张脸的高置信度重复采集，返回一个**稳定且不透明的人员 ID**，除此之外不返回其他任何内容。

* 该 ID 是随机标识符。它不是由人脸、特征向量、会话、组织或客户引用推导出来的，因此除了“此次采集之前出现过”之外，它不泄露任何信息。
* 它不携带任何欺诈状态，结构中也不存在可能携带此类状态的字段。
* 低置信度或可能匹配的结果绝不会将两个人合并。过度合并会把两个真实的人融合成一个身份，且无法仅凭数据撤销；合并不足则只会降低召回率。

## 多账户检测仅限同一组织并按分段进行

“这张脸是否在**我们这里**开过多个账户”，与跨组织证据是两个不同的产品问题，而前者只在您自己的组织内部回答。

在创建会话时设置 `multi_account_segment`，可为该搜索指定明确的范围。位于不同分段的两个会话绝不会被视为彼此的重复项。这使您能够分别运营个人账户库和企业账户库，或为每个子客户设置一个分段，而不会让一个在每个分段各合法持有一个账户的人，被误判为批量注册账户。若省略该参数，所有会话都位于单一默认范围内，这正是当前的行为。

黑名单与白名单匹配会有意忽略分段：被列入黑名单的人脸在您的组织内处处都被列入黑名单，因此分段永远不能被用来规避黑名单。

## 隐私

* 人脸永远不会跨越组织边界。共享欺诈索引在物理上无法存储人脸，数据库会拒绝该写入。
* 跨越边界的是某个参与组织标记为欺诈的精确值（证件号码、设备、IP 地址、电话或邮箱）的单向带密钥哈希。
* 跨组织查询只返回计数和时间区间分组。贡献数据的组织永远不会被点名，原始值、图像或会话都不会离开该组织。
* 共享是互惠的，需要同时满足 Enterprise 套餐和 `global` 共享模式。不贡献数据的组织不能查询；低于 Enterprise 套餐的组织无论其共享模式如何，既不能贡献也不能查询。
* 跨组织的**人脸**情报默认关闭。在生物特征人员标识符和声明事件模型的数据保护影响评估与法律审查完成之前，它将保持关闭。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.