微前端中不能靠 aria- 属性统一管理标签可访问性，因为子应用的 aria- 属性仅在自身 dom 范围内生效，主应用无法自动继承、聚合或透传这些语义信息；屏幕阅读器只解析当前焦点所在子树的 role 和 aria-*，不跨 shadow dom 或 iframe 合并；常见错误包括 aria-describedby id 失效、role="alert" 重复播报、aria-current 失效及 aria-live 在 shadow dom 中支持不稳定。
微前端里为什么不能靠 aria- 属性统一管理标签可访问性
因为子应用的 aria- 属性只在自己 DOM 范围内生效，主应用无法自动继承、聚合或透传这些语义信息。屏幕阅读器读取时，只认当前焦点所在子树的 role、aria-labelledby 等，不会跨 Shadow DOM 或 iframe 合并解析。
常见错误现象：
- 子应用 A 的按钮加了
aria-label="删除订单"，但焦点跳转到子应用 B 的表单后，主导航栏的aria-current="page"失效（因 DOM 树断裂） - 用
DOMParser加载子应用 HTML 后，所有aria-属性被保留，但aria-describedby指向的 ID 在主应用中不存在，导致描述丢失 - 多个子应用都用了
role="alert"，但主应用没做去重或优先级调度，屏幕阅读器连续播报三条无上下文的“警告”
role 和 aria- 必须配合语义化 HTML 使用，否则无效
单独加 role="navigation" 到一个 <div> 上，不如直接用 <code><nav></nav>；后者自带键盘导航、焦点管理、屏幕阅读器识别逻辑，前者只是“告诉辅助技术‘我假装是导航’”，但没行为支撑。
实操建议：
- 主应用统一提供
<nav></nav>、<main></main>、<aside></aside>等容器节点，子应用只往里面挂内容，不自行定义结构角色 - 子应用若必须封装自定义组件（如
<tab-group></tab-group>），需同时实现：role="tablist"+tabindex="0"+keydown处理方向键 +aria-controls关联面板 - 禁止子应用覆盖主应用已设的
aria-hidden="true"—— 比如主应用隐藏侧边栏时，子应用再设aria-hidden="false"不会生效，反而造成逻辑冲突
跨子应用的焦点管理和 aria-live 区域怎么协同
主应用必须显式控制焦点流转路径，不能依赖子应用各自处理。比如用户按 Tab 从主菜单进入子应用区域后，焦点应自然落入子应用第一个可聚焦元素；退出时应回到主菜单下一个项，而非卡死在子应用末尾。
关于实时通知：
- 主应用需预留一个全局
<div aria-live="polite" id="global-aria-live"></div>，所有子应用通过window.__micro_app_aria_live函数调用它，而不是各自创建aria-live区域 - 子应用发通知时必须带上下文标识，例如：
__micro_app_aria_live('subapp-a', '订单已提交')，主应用据此做去重、合并或静音策略 - 避免在 Shadow DOM 内使用
aria-live—— Chrome 和 Safari 对 shadowRoot 中的 live region 支持不稳定，容易漏报
子应用如何安全读取主应用注入的可访问性配置
主应用可通过 data- 属性静态传递基础可访问性开关，但子应用必须主动转换、校验、降级，不能直接信任字符串值。
示例场景：主应用挂载点为 <micro-app data-a11y-theme="high-contrast" data-a11y-font-scale="1.2"></micro-app>
- 子应用在
connectedCallback中读取：this.dataset.a11yTheme→ 得到"high-contrast"，但需判断是否在白名单内（['default', 'high-contrast', 'reduced-motion']），否则 fallback 到 default -
data-a11y-font-scale是字符串，需parseFloat()并限定范围（0.8–2.0），超出则截断 - 禁止子应用将
data-a11y-theme直接拼进 class 名：el.className = 'theme-' + theme—— 若 theme 是恶意字符串（如"onload=alert(1)"），会触发 XSS
真正难的不是加属性，而是让每个子应用对同一套可访问性语义有相同理解、相同响应节奏、相同降级策略——这没法靠 HTML 属性自动同步，得靠主应用暴露的 SDK 和 CI/CD 强制检查来兜底。
