无障碍不是附加项：后端架构师的建站避坑指南

　　去年一月份，凌晨三点十七分，我蹲在IDC机房门口啃冷包子，手边笔记本连着跳闸三次的交换机——不是业务崩了，是WAF规则一开，所有aria-live区域全哑火，连带整个通知中心的HTTP/2推送链路直接降级成轮询。运维老张在隔壁柜子踹了三脚，说“你那个无障碍头信息又把Nginx upstream搞瘸了”，我没接话，但手指在键盘上悬了十八秒没敲下去。

　　我原以为加个content-type:text/html;charset=utf-8; aria-hidden="false"就能糊弄过去。结果上周审计报告第一页就钉死这条：后端返回的role=“alert”元素未携带timestamp字段，导致前端无法判断消息时效性，进而被某个残障同事的读屏软件判定为“重复冗余噪音”，自动静音。而这个静音动作，恰好把故障自愈通知也一起吞了。我们直到第二天上午十点才发现集群里有两台节点挂了八小时，日志里全是192.168.103.225打来的GET /health?probe=accessibility，每分钟十七次，不带UA，不走CDN，直接怼到LB后面那台老旧的nginx-1.16。

　　安全是成本不是收入——这句话我说了六年，每次评审会上说完都得补半句“所以别给我塞‘兼容IE6’这种祖传需求”。可这次没人笑。CTO盯着白板上画歪的无障碍数据流图，突然问：“如果一个攻击者知道我们的error-handler会把stack trace渲染进aria-describedby，他会不会……”话没说完，小王的手机在桌上震了一下，群名是“@全员-应急-非公开”，消息是张截图：/var/www/html/static/404.html.bak~ 里面多了一行注释，写着“盲人看不见div高度，但curl看得见header长度”。

　　服务器上多出来的陌生文件是/tmp/.logrotate.lock.321b——不是root用户建的，权限600，mtime是去年十二月二十九号下午四点零三分，刚好是我们灰度切API网关的窗口期。我查了auditd日志，找不到写入记录；查了systemd-journal，只有一行：“logrotate[22819]: start rotating logs”。但22819这个PID，在ps快照里根本没活着。后来才想起来，那晚Docker daemon重启过一次，镜像层里混了个被污染的基础镜像，init进程fork出来的第一个子进程，PID恰好是22819。这事儿我敢打包票。

　　最要命的是cookie路径。不是HttpOnly设没设，是Path=/api/v3和Path=/api/v3/两个值在同一个域下共存，Safari会随机挑一个发，而读屏软件依赖的那个客户端SDK，偏偏认的是带尾斜杠的版本。结果一半请求带cookie，一半不带，状态错乱，登录态飘移，最后演变成CSRF校验失败，触发了我们自研的token熔断器。那个熔断器逻辑本身没问题，但它生成的fallback页面里用了加载中…，而我们后端模板引擎的escape函数，把尖括号转义成<之后，title内容就彻底失效了——读屏读不到，但爬虫能索引到“加载中…”四个字，三个月后SEO报表上跳出一堆“Loading... page not found”的404趋势线。这个我说不准是不是无障碍引发的，反正trace下来绕了七层中间件。

文章配图，仅供参考

　　前几天跟前端撕完，回工位发现抽屉里多了盒润喉糖，包装纸底下压着张便签：“老李说，你们后端把alt文字塞进HTTP header里当X-Alt-Text用，他昨天改了三天axios拦截器。”落款是实习生小陈，字歪得像被电过。我翻了Git记录，确实有条提交叫“feat: support alt-in-header for screen reader compat”，author是ops组那个戴黑框眼镜的赵工。他去年十月入职，之前在某政务云做等保加固。我查过他提的PR，里面有一行注释写：“此处暂不校验X-Alt-Text长度，避免阻塞主流程”。现在我们线上所有404响应头里都带着这个字段，值是“页面不存在，请按ESC键退出当前上下文”。

　　溯源到一半线索断了。不是IP跳了，是对方用的是某家无障碍测试SaaS平台的出口IP池，每天自动轮换，且所有payload都裹在valid WAI-ARIA标准语法里——连空格数量都符合W3C建议书。我们抓包看到的是合规请求，只是它连续三十六小时，每秒发一条带“role=navigation”属性的POST，body里嵌着base64编码的SQL片段，解出来是SELECT pg_sleep(0.3)。这不是攻击，这是压力测试。可为什么压力测试要用navigation role？我问了平台客服，人家回：“这是他们默认模板，方便视障测试员快速定位导航区”。没再追问下去。

　　深夜群里突然@全员，消息只有六个字：“403太多，查WAF”。接着是DBA老刘甩来一张截图：pg_stat_statements里top3的query，全带着aria-label LIKE '%搜索%'。我们有个搜索框组件，后端给的label是“站内全文检索（支持拼音首字母、模糊匹配、历史记录回溯）”，前端嫌太长，截断后存进数据库字段时，用了substr(label, 1, 200)——但PostgreSQL的LIKE操作符对前导通配符极其敏感，而我们所有搜索入口都复用了这个字段。结果所有含中文标点的查询，都触发了seq scan。WAF拦住的不是恶意请求，是真·残障用户的语音输入。而那个被我们当作性能瓶颈砍掉的缓存层，本来缓存的就是aria-label的哈希值。

　　所以今天我把所有后端路由的response body里，凡出现role/aria-/tabindex的地方，全加上strict mode校验：长度不能超128，禁止嵌套script标签，value必须UTF-8无BOM。不为了合规，是为了让WAF能认出什么是真流量，什么是拿WCAG当掩护的垃圾。至于那盒润喉糖……我放回小陈桌上了，下面压了张新便签：“header里别塞alt，用Link header，rel=“help”+href=“/accessibility/guide#search”。他应该懂。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!