个人化 LoRA 适配器绑定：用户、基础模型与数据许可的发布门禁

个人化适配器不是普通模型附件

通用 LoRA 适配器可以面向一个产品版本或任务分发，个人化适配器则可能由某个用户的选择、内容或行为材料生成。两者即使采用相同文件格式，责任也不同。个人化文件一旦被复制到其他账号、与错误基础模型组合，或者在许可撤销后继续加载，问题不再只是推理兼容，而是资产归属、数据用途和访问控制同时失效。

文件摘要只能回答当前字节是否与登记对象一致，不能回答谁有权使用。基础模型摘要可以排除一部分混搭，却不能证明当前账号仍持有权益。设备本地目录名更不能充当身份，因为目录可以残留、备份恢复或在账号切换时被错误复用。工程上应把适配器视为服务端授权的本地缓存，激活权来自当前会话和许可状态，而不是来自文件已经存在。

发布门禁需要在三个层次分别给出结论。技术层检查适配器、基础模型和运行时是否形成受支持组合；身份层检查适配器是否属于当前匿名用户作用域；许可层检查生成材料的授权版本、使用目的、期限和撤销状态。任一层缺失，候选都只能保持未授权或待确认，不能用另两层的通过结果补齐。

用一组不可拆分的身份字段描述适配器

适配器 manifest 至少应登记 adapterId、adapterDigest、baseModelId、baseModelDigest、runtimeFamily、format、匿名 userScope、generationId、licenseId、licenseVersion、purpose、issuedAt、expiresAt 和 revokedAt。字段不是为了让清单显得完整，而是分别回答字节、兼容对象、运行环境、账号归属、生成来源和授权窗口。清单需要签名或由受信服务返回，客户端自行拼出的 JSON 不能成为权威授权证据。

userScope 应使用服务端生成的稳定匿名作用域，而不是电子邮件、手机号、昵称或其他可识别信息。它可以由租户、账号和服务域共同决定，但不应允许客户端从公开字段自行推导。应用比较本地缓存时只处理作用域标识，服务端才维护其与真实账号的关系。日志可以记录作用域摘要和决策状态，不记录训练内容、完整输入或用户可识别字段。

适配器清单还要绑定生成来源。generationId 可以关联受控训练或个性化任务的内部回执，公开侧只保留任务状态、材料许可版本和产物摘要，不公开原始材料。若同一用户重新授权、重新生成或修改用途，即使 adapter 字节偶然相同，也应形成新的授权记录。字节身份与业务授权身份需要相互引用，但不能被压缩成一个含义模糊的版本号。

基础模型兼容与用户授权必须分开判断

Google AI Edge LLM Inference for Android 展示了把基础模型路径和独立 LoRA 路径同时交给运行时的方式，并明确适配器路径受支持模型与 GPU 后端约束。这说明 adapter 不是可脱离基础模型任意使用的文件。该接口已处于 maintenance-only，页面描述只能用于理解这一路实现，不能外推为所有移动 LoRA 运行时的统一兼容标准。

Google AI Edge LLM Inference overview 把基础模型、可选定制权重和运行配置作为相互依赖的执行输入。工程上应先检查 baseModelDigest、模型家族、适配器 rank 或相关格式要求和运行策略，再决定是否进入初始化。即使组合技术上可装载，仍要独立检查当前用户和用途；兼容通过只证明候选组合满足执行前提，不授予任何账号使用权。

LiteRT-LM Android 要求应用显式选择并初始化受支持的模型包与运行时配置。迁移到新的运行时族时，旧适配器不能因为扩展名相同就自动继承兼容或授权结论。发布记录应把 runtimeFamily 纳入组合身份，并为迁移后的候选重新生成技术回执。用户许可可以继续有效，也可能因用途或服务变化需要更新，二者由业务规则决定，不能由运行时迁移文档替代。

数据许可要绑定来源、目的和生命周期

个性化材料的合法使用不能只记录一次同意按钮。许可记录至少需要说明材料类别、生成目的、适用产品、许可版本、开始时间、到期或撤销条件，以及是否允许继续保存已经生成的 adapter。不同业务可能对撤销后的产物采取立即删除、停止激活后限期清理或保留不可用审计摘要等策略。文章不能替具体法律与业务判断给出统一答案，但技术系统必须能够执行经过批准的规则。

Declare Android app data use 要求 Data safety 声明覆盖应用和第三方 SDK 实际收集与共享的数据。若个性化过程上传内容、特征或诊断数据，商店声明需要与真实行为一致。不过商店声明是面向用户与审核的说明，不会自动限制本地缓存、阻止跨账号读取或执行删除。工程团队仍需实现数据分类、访问控制、保留周期和删除回执。

Apple privacy manifests 要求 App 与第三方 SDK 的数据收集和 required reason API 进入有效 privacy manifest。它同样属于声明与审核材料，不是运行时隔离机制。若 adapter 生成或加载引入新的 SDK、文件访问或数据路径，应更新相关清单并复核真实行为。Android 与 Apple 平台声明可以帮助识别责任范围，但用户作用域和许可决策仍应由业务服务与客户端门禁共同执行。

服务端权益复核是激活适配器的最终入口

客户端可以检查摘要、基础模型和本地账号作用域，但不能单独作出最终授权。移动应用属于用户可控制环境，本地时间、缓存状态和决策代码都可能失去可信性。激活前应向服务端提交当前会话、adapterId、adapterDigest、baseModelDigest、purpose、许可版本和一次性挑战，服务端核对账号归属、撤销、期限与产品权益，再返回短期且用途受限的决策。

Apple App Attest server validation 说明平台证明需要在服务端验证并绑定请求，而不是只在客户端判断。适配器场景可以把证明作为额外风险信号，并将挑战与本次激活请求关联。平台证明不是用户身份，也不是许可本身，更不是绝对设备可信结论。服务端仍需先完成会话认证、资源所有权和业务授权，再根据风险策略决定是否接受、降级或要求重新验证。

离线场景需要预先定义。若产品允许短时离线使用，可以缓存带签发时间、过期时间、adapter 和基础模型摘要、userScope 与 purpose 的最小权益票据，并在恢复联网后复核。离线窗口、设备时间可信度和撤销传播属于项目策略，需要真实风险评审。无法取得有效权益时，应用应保持通用模型路径或清晰提示，而不是因为本地文件存在就自动激活个人化适配器。

账号切换和退出登录必须驱动停用与清理

账号切换时，应用应先冻结当前个人化会话，等待正在执行的推理结束或安全取消，再清除内存中的 adapter 句柄和用户相关缓存，最后加载新账号的授权状态。不能先修改界面账号再异步清理旧文件，因为短暂窗口内新账号可能继续使用旧作用域。清理顺序需要在状态机中明确，并通过并发测试覆盖前台切换、进程恢复和网络延迟。

退出登录不一定意味着立即删除所有文件，但必须立即失去激活权。具体是否删除 adapter，取决于许可与离线策略；无论采用哪种规则，本地索引都应从活动集合移除，内存会话应关闭，后续调用应返回需要授权的状态。若文件暂存用于快速重新登录，应加密存储并按匿名作用域隔离，同时设置过期和服务端复核，不能靠不可读文件名制造安全感。

用户删除个性化数据时，需要形成从服务端任务、分发对象到设备缓存的清理链。设备离线可能让删除延迟，因此服务端应先撤销权益，使旧文件即使存在也无法重新激活；客户端联网后再执行本地清理并提交不含个人内容的回执。删除失败要可重试且不恢复授权。工程上应分别记录已撤销、待设备清理和已清理，避免一个完成标志掩盖不同状态。

• 账号变化前冻结个人化推理入口
• 等待或安全取消当前 adapter 会话
• 清除内存句柄并移除活动索引
• 服务端撤销优先于设备文件清理
• 删除失败可重试且不恢复授权
• 回执只保存作用域摘要与状态

验收要覆盖错配、撤销和恢复，而不只验证成功装载

正常用例应绑定当前用户、正确 adapter、正确基础模型、受支持运行时、有效许可和允许 purpose，并验证服务端决策与本地激活记录一致。测试材料使用专门的公开安全或脱敏账号，不应把真实个人内容带入通用日志。每条回执至少保存候选身份、适配器和模型摘要、匿名作用域摘要、许可版本、决策状态与时间。

拒绝用例更能证明门禁有效。应覆盖其他用户的 adapter、错误基础模型摘要、未知运行时族、过期许可、已撤销许可、目的不匹配、离线票据超期、服务端挑战不匹配和账号切换中的并发调用。正确结果不是应用一定崩溃，而是在进入个人化推理前得到明确、可审计且不会泄露资源存在性的失败。

恢复用例覆盖进程退出、应用升级、设备离线后重连、缓存文件残留和删除任务重试。历史回执不能自动证明新候选仍保持相同状态机。没有当前应用、adapter、基础模型和服务端决策的组合证据时，只能记录测试方案未执行。本文不提供任何客户案例、兼容率、性能数字或御盾项目通过结论。

用只读校验器阻止错误作用域和过期许可进入激活流程

下面的 Python 示例读取适配器 manifest 与本次激活上下文，检查匿名用户作用域、adapter 和基础模型摘要、运行时族、许可标识与版本、purpose、到期时间和撤销状态。脚本只读文件，不接触训练内容，也不输出完整作用域；任何字段缺失、摘要格式错误、作用域错配、目的不符、许可过期或被撤销都会返回非零状态。通过结果只表示两份输入在静态规则下相符。

生产系统不应让客户端自签 manifest，也不能把该脚本当作服务端授权替代品。权威清单和激活上下文需要由受信服务生成，并绑定当前会话与请求；客户端静态校验用于尽早发现缓存错配和明显无效状态。服务端仍需独立核对资源所有权、许可、撤销、风险信号和重放，并把短期决策返回当前请求。

申请个人化模型的商业加固评估时，应准备应用候选、adapter 与基础模型摘要、运行时和格式说明、匿名用户作用域设计、数据许可版本、服务端激活协议、退出登录与删除状态机及拒绝用例回执，再通过御盾中央平台提交申请。真实证据齐备前，不宣称资产不可提取、跨账号攻击被阻断或任何设备矩阵已经通过。

• 输入清单来自受信服务而非客户端自签
• adapter 与基础模型摘要同时匹配
• 匿名 userScope 与当前会话一致
• 许可版本、purpose 和期限逐项复核
• 撤销状态优先于本地缓存存在
• 静态通过后仍进入服务端最终授权

from pathlib import Path
from datetime import datetime, timezone
import hashlib
import json
import sys

ALLOWED_RUNTIMES = {"mediapipe-llm", "litert-lm"}

def load_json(path_text):
    path = Path(path_text)
    if not path.is_file():
        raise SystemExit(2)
    value = json.loads(path.read_text(encoding="utf-8"))
    if not isinstance(value, dict):
        raise SystemExit(2)
    return value

def valid_digest(value):
    return isinstance(value, str) and len(value) == 64 and all(ch in "0123456789abcdef" for ch in value.lower())

def parse_time(value):
    if not isinstance(value, str):
        raise SystemExit(2)
    return datetime.fromisoformat(value.replace("Z", "+00:00")).astimezone(timezone.utc)

if len(sys.argv) != 3:
    raise SystemExit(2)
manifest = load_json(sys.argv[1])
context = load_json(sys.argv[2])
required = ["adapterId", "adapterDigest", "baseModelDigest", "runtimeFamily", "userScope", "licenseId", "licenseVersion", "purpose", "expiresAt", "revoked"]
if any(field not in manifest for field in required):
    raise SystemExit(2)
if not valid_digest(manifest["adapterDigest"]) or not valid_digest(manifest["baseModelDigest"]):
    raise SystemExit(2)
if manifest["runtimeFamily"] not in ALLOWED_RUNTIMES or manifest["revoked"] is not False:
    raise SystemExit(2)
for field in ["userScope", "baseModelDigest", "licenseId", "licenseVersion", "purpose"]:
    if context.get(field) != manifest[field]:
        raise SystemExit(2)
now = parse_time(context.get("checkedAt"))
if parse_time(manifest["expiresAt"]) <= now:
    raise SystemExit(2)
scope_digest = hashlib.sha256(manifest["userScope"].encode("utf-8")).hexdigest()
print(json.dumps({"status": "eligible-for-server-review", "adapterId": manifest["adapterId"], "scopeDigest": scope_digest}, ensure_ascii=False))