ASP无障碍调试：视障工程师的缓存优化之道

　　去年9月，我蹲在IDC机房配线架后面听NAS挂载日志——不是看，是听。那个ASP调试页面的语音朗读插件，每次缓存击中就卡半秒，像有人用指甲刮黑板。我原以为是TTS引擎bug，结果抓包发现，是服务器在Set-Cookie里塞了Accessibility-Session-ID，WAF规则里又没放行这个header，全被当成可疑参数拦了。可它根本不是参数，是盲文终端同步用的会话心跳。

　　安全是成本不是收入——这话我敢打包票。但去年那波蓝队红队联合演练，我们组把ASP无障碍调试模块打成靶子，连测三天。张工在群里扔了个curl命令，带--data-urlencode "aria-live=polite"，跑出来27个403；李薇直接拿NVDA录屏，翻出三处Cache-Control: private却被CDN强行覆盖成public的地方。可没人问一句：为啥所有cache key都拼了User-Agent？视障工程师的UA里压根没分辨率字段，结果缓存粒度崩成一锅粥。我说不清这是逻辑漏洞还是流程惯性，反正运维说“上层没要求区分残障设备”，我就没再追问。

　　凌晨两点十四分，安全群突然@全员，发了个截图：/asp/debug/trace.axd?_acc=1&_v=3.2.1，右下角还带着NVDA的绿色浮动窗口框。我没点开，直接ssh进跳板机grep access.log——IP是10.21.8.167，眼熟。三个月前溯源APT-41那批webshell，尾部特征就是这个段。后来查出来是实习生手滑把本地调试配置推到预发布环境了，但没人解释为啥那个IP能绕过WAF的Referer白名单。我就记得他当时敲回车时，耳机里NVDA正在念：“缓存策略加载失败，使用默认回退。”

　　服务器上多出来一个叫_wa_temp_20230912.txt的文件，权限600，属主www-data。内容只有两行：第一行是base64编码的SVG（我让同事转出来，是个轮椅图标）；第二行是十六进制字符串，解出来是“Cache-Control: no-store, must-revalidate”。我没删它，也没上报。倒不是怕担责，是那天凌晨四点我闻到机柜缝隙飘出一股焦糊味，顺着找过去，发现ASUS主板上的音频电容鼓包了——声音输出模块故障导致NVDA部分提示丢失，所以调试页面才总报“缓存状态未知”。这事跟ASP没关系，但那天之后，我把所有缓存debug接口的响应头都加了X-A11y-Ack: true。

　　有个失败案例得提：我们曾强制所有.asp页在Vary里加Accept-Language，想靠语言标签隔离视障用户的缓存。结果财务系统的报表页直接502——因为F5的iRules脚本把Vary当垃圾头过滤了。后来发现F5规则里有条正则/^Vary:.lang./i，匹配了“language”也匹配了“English”还匹配了“angst”……王磊重写规则时手抖多打了个反斜杠，变成/^Vary:.lang./i，反而更糟。这算啥？不算缺陷，算人和正则之间的物理距离太近。

　　我原以为缓存策略只要绕过WCAG 2.1 AA就行，结果被审计组揪住一点：你们ASP调试页返回的ETag里含session id，而session id本身是可预测的，这就违反了《无障碍环境建设法》第十七条“不得因辅助技术使用增加安全风险”的兜底条款。我说不清这条是不是真适用——司法解释还没出细则，但法务部第二天就把所有ETag生成逻辑砍了，换成了SHA256(URI+last-modified)。挺糙，但有效。不过现在CDN缓存失效率涨了十七秒，这个我说不准，只记得每天早九点日志里准时刷出三千七百二十二次304，其中一千零八十四次来自同一台JAWS终端。

　　昨天下午翻旧备份，发现10.21.8.167那个IP其实早在去年8月就出现在/var/log/nginx/error.log里，但当时是“client sent invalid header line”，没触发告警。现在想想，可能只是NVDA把某个长ARIA属性截断了，导致header格式错乱。可溯源到一半，线索断了——原始WAF日志只保留三十天，那天恰好是清理周期最后一天。我盯着屏幕看了十八秒，把那段log复制粘贴进编辑器，按Tab缩进三次，然后关掉了窗口。

文章配图，仅供参考

　　接下来我要干两件事：一是把_wa_temp_20230912.txt里的十六进制串写进Nginx的map变量，让它参与Cache-Key计算；二是找王磊借他那块鼓包电容的主板，拆下电容去焊接到另一台服务器声卡位置——先试试能不能复现那个NVDA静音时刻。别的等下周补。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!