J1.10.4third-party content conformance设计研究
第三方嵌入内容的达标情况通常超出自身控制范围
别名: 第三方嵌入 · 部分符合 · iframe · CAPTCHA
概念解释
验证码、广告、地图、支付 iframe、客服聊天、社交媒体卡片，跑在别人的代码里。你可以改自己的页头，改不了那块 iframe 的无障碍树。第三方嵌入通常超出自身控制范围（third-party content conformance）是声明上的事实：整站符合性不能把管不到的节点算进「我们已达标」，也不能对用户假装那块障碍不存在。失控不是免责咒语——选哪家供应商，仍是你的控制点。
机制
符合性声明由作者作出，作者只能担保自己能改的节点。标准允许把不受控的第三方标成部分符合，前提是点名、说明、不把失败藏进整站绿灯。第二层是「不受控」对用户不成立：键盘走进验证码出不来，任务一样失败。选择供应商、是否允许脚本、失败时有没有第一方替代，这些决定仍在范围内。标签管理器里你自己点选的标签，不算神秘第三方。把控制权外包之后，声明范围必须收缩，同时采购合同要把通道当作交付物。
怎么研究
画责任图：每个嵌入的来源、谁能改代码、失败时用户卡在哪一步、有没有第一方替代。用键盘和阅读器走含嵌入的关键路径，把失败标成「己方 / 供应商 / 配置」。对照声明里是否点名这些嵌入。
自变量：嵌入是否在声明中列出、是否存在第一方替代、合同是否含无障碍条款。 因变量：关键路径是否被嵌入阻断、声明是否把阻断算进整站达标、供应商更换后失败是否消失。
不要只用自动扫描跨域 iframe——许多扫描器根本进不去，绿的是外壳。
边界
自己写进第三方壳里的第一方代码，仍是自己的范围。开源组件一旦合进仓库，控制权已经回来，不能再当第三方。浏览器和操作系统不是「嵌入内容」，兼容性是另一层。内容分发网络只传你的字节时，也不创造独立的符合性对象。无法控制不等于可以沉默：部分符合必须可读。
怎么落地
- 关键路径尽量不把不可替换的步骤放进失控嵌入；支付、登录、验证若必须用供应商，合同写通道要求，并准备第一方或另一家供应商的退路。
- 声明逐项列出第三方：产品名、用途、已知障碍、替代做法（电话下单、人工审核）。
- 标签管理器里新增脚本视为范围变更，未测不得进入已声明的页。
- 验证：关掉显示器走完结账和注册。卡在验证码、聊天或支付 iframe 时，打开声明看这一项是否被点名、是否给出替代。声明仍写整站达标且未列该嵌入，范围就写过了。再在供应商文档里查你是否真的不能改——能改的配置没改，不算失控。