一项能力能否长期维护，不取决于演示是否成功，而取决于团队能否解释每个状态、每次重试和每一份残留数据。 “发生未知错误”没有恢复价值，“ICE 701”又只有工程师理解。文案应先说明用户任务状态，例如文件未发送、已安全保留可重试。
无障碍不是发布前补一组 aria 属性，而是让键盘、屏幕阅读器、缩放、减弱动态和高对比度用户完成同一任务闭环，并在错误后找得到下一步。
设计时必须回答的问题
落地时要把关键选择变成稳定契约：输入如何校验、状态由谁推进、资源何时释放、旧版本如何降级。只有这样，后续优化才不会改变原有语义。
- 错误模型提供 summary、impact、actionLabel 和 detailsDisclosure，焦点移到错误摘要但不反复抢占；技术 requestId 放可展开区域。
- 为状态写出唯一所有者、版本号和终态；任何回调只能修改自己创建的版本。
- 重试必须带幂等键、退避和截止时间；超过截止时间后建立新任务，而不是继续复活旧回调。
“可访问的错误文案：说明发生了什么、影响什么、下一步是什么”的交付标准是正常路径可用、异常路径收敛、资源有界，并且用户能理解系统为何采用当前状态。 这样得到的不是演示代码，而是能解释、能降级、能回滚的生产能力。
边界情况不是附加项
不要把异常路径理解成弹一次提示。它还包括在途工作如何停、对端如何获知、残留数据如何处置，以及下一次操作是否会继承旧状态。
- 把原始异常堆栈读给屏幕阅读器既冗长又泄露；只有红色边框而没有字段关联让用户找不到问题。
- 失败被压成一个布尔值，调用方无法区分可重试、需用户介入与永久拒绝，最终形成无限循环。
- 降级路径从未压测，主路径故障时所有流量同时进入更慢、更昂贵的后备方案。
用证据确认它真的可用
测试不能以“最后成功了”结束。还要测量经历了多少次副作用、等待多久、是否泄露内容，以及失败后再次执行能否从干净基线开始。
- 邀请屏幕阅读器和认知障碍场景用户完成十类错误恢复，统计是否理解影响、第一步成功率、返回焦点与重复报错。
- 让刷新、取消、超时和远端完成在同一调度窗口发生，断言系统只产生一个终态和一次副作用。
- 分别覆盖直连、中转、弱网、后台标签页和移动端，报告不能只给平均值或一次成功截图。
可以上线的标准是：用户知道当前发生了什么，系统在异常后能停止或恢复，资源不会无界增长，运维也能从最小必要证据定位阶段。