当用户界面组件获得键盘焦点时，焦点指示器必须满足：与相邻颜色的对比度不低于3:1，且至少覆盖聚焦元素周围2个CSS像素实线轮廓的周长，或等效的指示器面积。这是WCAG中少数规定了可测量几何尺寸而非行为的新增准则之一。

设计师花了十五年时间以审美理由覆盖的浏览器默认焦点环，在大多数被审计的量产网站上无法通过此项测量。自定义焦点样式往往使用1px轮廓或低对比度强调色——在设计工具中看起来没问题，但在实际聚焦元素的背景色上评分时低于3:1。

这一数据在准则为AAA的情况下依然值得关注：它揭示了一旦未来监管机构将WCAG 2.2定在AAA级别，或采购合同将此单项准则提升要求时，将会发生什么。

设置2个CSS像素的轮廓，颜色相对元素背景的对比度至少达到3:1；使用对比度检测工具核验，而非凭肉眼判断。在设计系统覆盖浏览器焦点样式的地方，暴露一个焦点样式标记，确保设计师无法不经意间将其调低至对比度阈值以下。

每个指针输入的点击目标至少需达到24×24 CSS像素，以下情形除外：目标在句子中内联、由用户代理决定尺寸、有等效目标可用，或目标功能不可或缺。该准则衡量的是点击目标，而非可见图标的尺寸。

该准则专门捕获一类用户界面模式：密集的图标工具栏，尤其是编辑器、仪表板和数据表格标题栏中。大多数图标按钮组件库默认使用16×16或20×20的可见图标尺寸，外层容器略大但点击目标也低于24×24，则违反该准则——工具栏设计师为在有限水平空间内容纳更多图标而惯于压缩间距。

在设计系统中设置最小点击目标标记为24×24 CSS像素，通过内边距而非图标本身的尺寸来实现。在工具栏确实无法满足底限时，增加充足间距，确保相邻目标不处于该准则重叠豁免范围内。为真正空间紧张的界面提供设置级别的等效入口（如较大的菜单）。

网站或应用的身份验证步骤不得依赖认知功能测试——解谜题、转录扭曲图像、识别网格中的对象——除非提供了替代身份验证方法、提供了辅助机制，或适用对象识别豁免。记忆密码被视为认知功能测试，这也是密码管理器被明确纳入豁免的原因。

大多数基于图片的CAPTCHA从表面上就违反了该准则。“点击含交通信号灯的方格”挑战、扭曲文字转录测试，以及任何将一次性验证码粘贴到字段但禁用粘贴交互的流程，均违反该准则。这一模式集中出现在登录、密码重置和账户注册流程——恰恰是被拒绝访问代价最高的关键节点。

身份验证流程也是该准则约束力最强的领域，因为失败的后果不是降级体验，而是直接终止服务。

用非认知替代方案取代认知功能CAPTCHA——设备认证、魔法链接、通行密钥，或不可见的风险评分机制。允许密码管理器自动填充。确保一次性验证码字段支持复制粘贴。若CAPTCHA必须保留，提供不要求转录扭曲语音的音频替代方案。

当用户界面组件获得键盘焦点时，聚焦元素不得被作者创建的内容完全遮挡。在此级别允许部分遮挡（粘性标题遮盖聚焦字段上半部分是允许的）；完全遮挡则不允许。

最常见的碰撞是粘性标题——有时是Cookie通知横幅或浮动聊天组件——在键盘用户Tab键进入时遮挡聚焦表单字段。在2020—2022年改版浪潮中为现有表单叠加粘性标题的量产网站，通常因原表单是在粘性元素出现之前开发的，而忽略了焦点与滚动的联动行为。

将scroll-margin-top（或滚动容器上的scroll-padding-top）设置为等于任何粘性遮层的高度。测试在长表单中通过Tab键切换焦点时，聚焦元素是否完整滚动至任何标题之下。配合焦点可见样式，确保用户能看到焦点实际落点。

使用拖拽动作的功能还必须可通过单指针动作操作——点击或等效的无需持续指针移动的操作。拖放交互本身并未被禁止；它只是不能是实现该功能的唯一路径。

列表排序和看板式界面常常只提供拖拽排序。同样的问题也存在于以可拖拽滑块实现但无对应数字输入框或文字输入的滑块控件，以及需要拖拽来设置边界的图像裁剪界面。该准则每次都能捕获这些模式。

为每项拖拽交互提供等效的点击替代方案——在可拖拽列表项旁放置”上移”和”下移”按钮，在滑块旁放置数字输入框，在裁剪工具中提供点击设定边界模式。若替代方案隐藏在右键菜单中，确保其可通过键盘访问。

在同一个经身份验证的流程中，不得要求用户两次输入相同信息——除非重新输入不可或缺、之前的输入已失效，或涉及安全信息（账户注册时重新输入密码是典型例外）。自动填充或从之前输入的值中选择，均满足该准则。

多步骤结账流程、多页申请表单，以及签证/许可证申请流程，常常因为各步骤由不同团队开发且从未整合，而要求用户在两个独立步骤中填写相同的地址、姓名或联系信息。用户之前输入的值未保存在跨步骤共享的会话中。

在单一流程的各步骤之间保留用户输入值；在后续步骤中预填匹配字段；或提供”使用相同地址”的一键操作。这一模式通常在流程梳理阶段而非前端审计阶段才会浮现，因此跨团队的流程评审是实际可行的修复步骤。

若提供了帮助机制——联系链接、帮助链接、聊天组件、支持电话、自助链接——该机制在其出现的所有页面上必须位于相同的相对位置。该准则并不要求必须提供帮助；只要求在提供帮助的地方，其位置保持一致。

该准则在原则上直接明了，但捕获的是一类特定网站：在部分页面的页眉放置”联系我们”链接，在其他页面的页脚放置，并在第三类页面的浮动聊天组件中放置——这通常是多个网站分区由采用不同模板的不同团队负责的结果。

审计所有模板中帮助机制的位置；确定单一规范位置（页眉、常驻页脚或浮动组件），并将所有例外情况统一。这一修复很少涉及技术层面；它是一项内容与模板治理步骤。

2.4.11的AAA版本：当用户界面组件获得键盘焦点时，聚焦元素不得被作者创建的内容遮挡任何部分。在此级别，部分遮挡同样被禁止——粘性标题遮盖聚焦字段的任何部分均构成失败。

导致2.4.11失败的粘性遮层碰撞在2.4.12层面依然存在。采用了scroll-margin-top来满足最低要求版本的网站，往往在边缘视口高度下仍有若干CSS像素的重叠。在AAA级别，这种重叠即构成失败。

将scroll-margin-top调整为舒适地超过每个作者创建遮层的高度，包括动态出现的遮层（首次访问时出现的Cookie横幅、悬停时展开的聊天组件）。针对常见视口尺寸下的Tab进入表单行为添加明确的回归测试。

3.3.8的AAA版本：身份验证不得依赖认知功能测试，无任何例外。适用于AA级别的对象识别和个人内容豁免在此处不适用。记忆测试、转录测试和图像识别挑战在此级别全部失败。

即使将传统CAPTCHA替换为对象识别挑战（AA豁免）的网站，也无法通过3.3.9。该准则是工作组关于身份验证应走向何方的明确信号：彻底告别认知挑战，转向设备认证或生物特征验证。

将通行密钥（WebAuthn）作为主要身份验证机制；将密码加通行密钥视为过渡态而非终点。若为风险评分保留了图像识别，应通过行为信号在服务端运行，而非作为面向用户的挑战。