容器运维视角：媒体网站无障碍设计的9个技术盲区

　　告警响的那一刻，我正把泡面叉子插进最后一块蛋里——汤都凉了，浮着层油花。手机震得桌角那台三年没换过散热硅脂的老笔记本直晃，屏幕上还开着三个窗口：一个是凌晨三点半的 Kubernetes 事件日志，一个是钉钉未读消息（开发老张发来一句“无障碍适配完了，CI跑通了”），第三个……算了，是B站一个UP主讲WebP懒加载的视频暂停在02:17，我没关。

　　我原以为就又是那种“UI改完样式、接口加个header、部署完没人点开语音朗读试一试”的常规发布。结果三台机器上Pod滚动更新到一半，监控曲线猛地抽搐——不是CPU爆了，不是OOMKilled，是Prometheus里一条自定义告警炸了：“/accessibility-assertion-fail”连续5分钟返回非200。我们连这个endpoint都没配过。查日志才发现，是新上线的媒体页埋了个自动触发Chrome无障碍树扫描的调试脚本，每秒调一次/aria-snapshot，硬生生把istio-ingressgateway拖进了连接池耗尽状态。机房很冷，空调风口正对着我后颈，但我后背全是汗。

文章配图，仅供参考

　　其实最离谱的是证书。他们说“无障碍服务必须HTTPS”，好，我们就给a11y-proxy加了个ingress，TLS用Let’s Encrypt。可那个proxy要实时解析DOM、注入ARIA标签、再重写HTTP响应头——中间还得解密再加密。结果cert-manager每次续期失败，因为它校验时根本收不到a11y-proxy的200，那玩意儿自己正卡在渲染某个带Canvas水印的新闻图。我们被迫在ClusterIssuer里加了--disable-http-challenge，转用DNS01……结果运维同事老李半夜收到阿里云DNS API限流告警，电话打进来时我正啃第二包泡面，嘴上含糊说“你先把TXT记录删了重跑”，手在敲kubectl delete -f dns01-challenge.yaml——其实我根本没备份那个YAML，删完才想起来yaml里还混着测试环境的zone_id。

　　磁盘这事更邪门。所有pod都挂了emptyDir:/tmp用于临时缓存OCR识别结果，结果某天早高峰，/tmp被无障碍语音合成模块狂写WAV碎片，单个pod塞进去四十七个128MB的音频chunk，宿主机df -h直接99%。没人设livenessProbe检查/var/lib/kubelet/pods//volumes/……因为“这不属于应用层逻辑”。那天我手动ssh进node去rm -rf，手指发抖——删错了目录的话，隔壁两套直播推流的volume也跟着陪葬。反正删完我坐在工位上盯着监控看回血，看着看着就笑了：原来“无障碍”最后堵住的，是咱们自己运维的IO路径。

　　还有三台机器跑着同样的Fluentd采集日志，其中一台突然丢掉所有access_log字段里的user_agent。排查三天，发现是那个新引入的a11y-crawler模拟器，User-Agent字符串里塞了三十多个分号和空格，Fluentd的regex parser直接panic退出——而它的restartPolicy居然是Never。我重启完，顺手点了下chrome devtools的Accessibility面板，结果发现：页面上所有标签的alt属性全被前端JS运行时动态覆盖成了“[图片]”，覆盖时机比React useEffect还早半毫秒；SVG图标全没role=“img”，但每个里又塞了个data-a11y-desc；video元素的controls属性被Vue指令v-if临时干掉，等loading结束才加回来……可screen reader早就把空白controls界面读完了。这些，全不在任何SOP里，也不在任何Git提交说明里。

　　值班表排到我头上那天，我妈发微信问“今天回家吃饭吗”，我说“可能不回”，她回了个“哦”，后面跟了个煮饺子的emoji。我没回。晚饭？哪来的晚饭。那周有俩同事辞职，一个因为总被产品拉去听无障碍体验官录音，另一个说“天天救火，连kubeadm init都记不清参数了”。其实我上周六晚上在家给路由器刷OpenWrt固件，老婆指着WiFi名字问我：“你把SSID改成‘a11y-dev’，隔壁老王家能连上吗？”我没答。我盯着那个ssid看了两分钟，突然把手机扔沙发上，去阳台抽烟。

　　优胜劣汰？对。不是用户淘汰网站，是技术债淘汰人。你见过几个前端敢把role="application"加到首页body上的？你见过几个DevOps敢在Ingress注解里写nginx.ingress.kubernetes.io/configuration-snippet: | location /aria/ { proxy_pass http://a11y-service; } ……然后忘了这个location会劫持所有以/aria开头的API请求？去年五月份那次大故障，最终root cause没查清——因为复盘会上，三方团队各执一词，安全说“不该暴露debug endpoint”，开发说“是你们没限流”，我翻着日志突然说：“咱先把那个/a11y/snapshot删了吧。”全场安静三秒，产品经理点头说“行”。删完五分钟，告警停了。我认了。真认了。

　　下一步？补个Helm Chart钩子，在pre-upgrade阶段干掉所有a11y-相关的sidecar。或者更狠点，写个准入控制器，凡是有aria-、role=、tabindex=的ConfigMap，统统拦截——管它是不是WCAG强制要求。当然，也可能下个月就被打脸。反正现在我本地kubectl config set-context的别名已经改成k11y，同事看见笑，我说：“不是缩写，是哀鸣。”

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!