报告实际是什么样子

先修这些

这三个数字统计的是本报告各处找到的问题。上方色条统计的是另一件事：固定清单里有多少项检查实际执行、其中多少项结果干净。一项结果不干净的检查，在这里可能对应到不只一个问题；下方也有数个章节根本不在那份固定清单内。因此两边的合计本来就不会相同。

• 6 重大
• 6 标记
• 16 提醒

1. 严重：button-name这是由 axe 报告的一项问题，axe 是一套自动化的无障碍检测工具，会拿实际渲染出来的页面去对照 WCAG 无障碍准则。每一项都代表：用屏幕阅读器、只用键盘、或视力不佳的人，在这里会撞上某个具体的障碍；而严重程度那个词是 axe 自己的分级，critical 通常代表某些人根本完成不了操作，minor 则是会卡一下、不太顺畅。自动检测只能抓到真实用户实际遇到问题的一部分，所以请把这些当成最低标准，而不是全部。它们值得优先处理，因为报告会列出确切出错的元素，让大多数问题只要针对性地改一下就好，不必整页重做。
2. 严重：label这是由 axe 报告的一项问题，axe 是一套自动化的无障碍检测工具，会拿实际渲染出来的页面去对照 WCAG 无障碍准则。每一项都代表：用屏幕阅读器、只用键盘、或视力不佳的人，在这里会撞上某个具体的障碍；而严重程度那个词是 axe 自己的分级，critical 通常代表某些人根本完成不了操作，minor 则是会卡一下、不太顺畅。自动检测只能抓到真实用户实际遇到问题的一部分，所以请把这些当成最低标准，而不是全部。它们值得优先处理，因为报告会列出确切出错的元素，让大多数问题只要针对性地改一下就好，不必整页重做。
3. 严重：Content-Security-PolicyContent Security Policy（CSP）是你服务器附在页面上的一小段指示，列出浏览器可以从哪些地方加载脚本、样式和内嵌框架。少了它，只要有什么东西被塞进你的页面（通过评论框、网址参数、或某个第三方组件的厂商被入侵），浏览器都会照跑不误。有没有这份策略，决定了这类意外是被关在一个小角落里，还是能把整页的内容全部读走。你可以先用“仅报告”模式上线，这样一边摸清它需要哪些配置，一边也不用担心把网站弄坏。
4. 严重：Strict-Transport-SecurityStrict-Transport-Security（HSTS）是一行指示，告诉浏览器以后只准用加密连接连到这个网站，并把这件事记住一段时间。少了它，访客发出的第一个请求（不管是自己敲域名，还是点到旧的 http 链接）会在你的跳转生效之前，先以未加密的方式发出去，而那第一个请求，正好就是同一个网络上的人有办法拦截的那一个。光靠跳转补不了这个缝隙，但这个 header 可以。
5. 严重：Stripe publishable key有一段长得像凭据、API 密钥、访问令牌或密码的字符串，被发现在这个页面提供的一支 JavaScript 文件里。每一个访客都会下载这支文件，所以如果它真的是一把还在用的密钥，那不管另外还有什么在守着它，对任何打开开发者工具的人来说它都不再是秘密了。有些比对是误报（可公开的密钥、测试用的假数据、本来就打算让人看到的值），这也是为什么那段脱敏处理过的节录，只留在这份报告里，绝不会被复制到任何其他工具去。查一下这一把是不是还在用，因为如果是，唯一站得住脚的修法是把密钥换掉，而不只是把那一行删掉。
6. 严重：Analytics write key有一段长得像凭据、API 密钥、访问令牌或密码的字符串，被发现在这个页面提供的一支 JavaScript 文件里。每一个访客都会下载这支文件，所以如果它真的是一把还在用的密钥，那不管另外还有什么在守着它，对任何打开开发者工具的人来说它都不再是秘密了。有些比对是误报（可公开的密钥、测试用的假数据、本来就打算让人看到的值），这也是为什么那段脱敏处理过的节录，只留在这份报告里，绝不会被复制到任何其他工具去。查一下这一把是不是还在用，因为如果是，唯一站得住脚的修法是把密钥换掉，而不只是把那一行删掉。
7. 警告：color-contrast这是由 axe 报告的一项问题，axe 是一套自动化的无障碍检测工具，会拿实际渲染出来的页面去对照 WCAG 无障碍准则。每一项都代表：用屏幕阅读器、只用键盘、或视力不佳的人，在这里会撞上某个具体的障碍；而严重程度那个词是 axe 自己的分级，critical 通常代表某些人根本完成不了操作，minor 则是会卡一下、不太顺畅。自动检测只能抓到真实用户实际遇到问题的一部分，所以请把这些当成最低标准，而不是全部。它们值得优先处理，因为报告会列出确切出错的元素，让大多数问题只要针对性地改一下就好，不必整页重做。
8. 警告：隐私政策链接这次扫描读过页面上每一个链接，想找出一个通往隐私政策的链接，也就是告诉访客你会收集他们哪些数据、又拿去做什么的那份文件，结果一个都没找到。想查的访客无从查起，而 app 商店、广告平台和支付服务商，也常常会拒绝或停用拿不出这份文件的网站账号。这项检查只看得到它拿到的这一页，所以如果政策其实放在别处，补救办法多半就是在页脚补上一个链接。
9. 警告：点击劫持防护（X-Frame-Options 或 frame-ancestors）这里没有任何设置告诉浏览器：别的网站到底可不可以把你的页面加载到一个框架（frame，也就是嵌在他们页面里的一扇小窗口）里。这会让“点击劫持”（clickjacking）有机可乘，也就是有人把你真正的页面透明地叠在他自己的按钮上，访客以为自己点的是一个东西，实际上点到的却是你的页面。这件事在有登录后、值得被劫持的操作时最要紧，在纯介绍用的静态页面上就没那么重要，但不管哪种情况，修正都只是加一个 header，实在没什么理由让它一直开着。
10. 警告：X-Content-Type-Options: nosniff这是一行指示，要浏览器相信你服务器声明的文件类型，而不要自己看内容去猜。少了它，浏览器有可能把你以纯文本、或以用户上传文件形式提供的东西，判定成其实是 JavaScript 或 HTML 并且执行它，看起来人畜无害的上传文件就是这样变成可执行的代码。这个值是固定的，没有任何要按网站情况决定的地方，也几乎不可能弄坏什么，是整份报告里最不费力的项目之一。
11. 警告：Referrer-Policy 会将完整网址发送给任何源(unsafe-url)Referrer-Policy 控制的是浏览器会把你这页网址透露给别的网站多少，而你设的那个值，是把整串网址（连路径和查询字符串一起）交给每一个目的地。只要你的网址里带着任何密码重置令牌、搜索词、客户编号或订单代号，这个值就会被发到第三方去，包含页面上每一支分析和广告脚本。这一项的评级之所以高于“单纯没设策略”，是因为这个 header 是存在的，而且是主动选择了会泄露的那个行为，改一个字就能修好。
12. 警告：Cookie Secure 属性cookie 是你网站请浏览器保存、并在每次访问时带回来的一小段数据，常常就是让人保持登录状态的那个令牌。你至少有一个 cookie 没设 Secure 属性，这代表浏览器愿意通过未加密的连接把它发出去，而在同一条网络路径上的任何人都读得到。受影响的 cookie 名称列在证据里，这只是在每个设置它的地方加上一个选项而已。

16 项发现，列在下方各章节