IETF-W3C

HTTP/2 Rapid Reset 暴露的并不只是一个实现漏洞，而是一条跨越标准、厂商与运营者的责任链：协议允许的行为如何转化为资源耗尽风险，谁发现并推动了问题升级，修复如何进入规范与产品发布，以及什么证据才能证明暴露面真正收敛。

IETF-W3C 这个目录标签指向的是一段可被文件证明的协调历史，而不是一个已经被公开证据证明的统一组织。要判断谁拥有权力、谁承担责任以及应向哪里提出异议，必须把备忘录、RFC 和当前联络记录拆开阅读。

TLS 重协商的历史说明了一个经常被忽略的安全边界：标准可以修复协议中的密码学缺陷，却不能单凭标准文本证明所有终端、库、设备和内部链路已经完成迁移。RFC 5746 重新绑定了重协商握手，TLS 1.3 则取消了重协商；真正的风险收尾仍取决于对遗留部署面的逐一验证。

把 IETF 与 W3C 并列书写，容易让人误以为二者只是承担相似职能的两个标准组织。但它们的权力来源、决策程序、法律安排和争议救济并不相同。对网络运营商、参与者和机构决策者而言，真正重要的问题不是谁发布了 RFC 或 Recommendation，而是哪一份制度文件赋予了具体权力，以及不服决定的人能够向谁提出挑战。

IETF标准并不直接运营网络，但它们规定了网络必须共同实现的状态机：连接如何迁移，路由如何发布和撤回，名称如何验证，故障后哪些状态能够恢复。标准一旦进入实现、运营和测量系统，连续性就不再由一个机构单独控制，而分散在协议实现者、网络运营商、验证器和观察基础设施之间。

匿名问卷的价值，恰恰在于回答可以尖锐，而不必变成指向回答者的线索。W3C新开放的会员问卷和广泛社区问卷都承诺回答匿名，却又在同一份表单中邀请有意参加访谈的人留下邮箱。现有公开材料不能证明邮箱已经与回答关联，也没有展示二者必然分离的机制。应当补上的不是猜测，而是一份简短、可核验的分离说明。

W3C 新发布的 WebAuthn Level 3 推荐标准链接了一份固定测试报告，表格里有四款浏览器。最终过渡记录又特意说明，Chrome 与 Edge 的实现“有一部分不同”。这句提醒很重要，却没有回答最关键的问题：到底是哪项功能、哪一层实现、哪份证据构成了独立性判断？

W3C 于 8 月 11 日更新《ARIA in HTML》推荐标准，并在首页链接一份公开实施报告。报告称最后更新于 2026 年 3 月 22 日；Git 历史却显示，文件在 5 月 20 日经历大幅改写，5 月 27 日又有变动。两组日期可以同时真实，但它们分别回答“证据截至何时”和“文档何时修改”，不应挤在同一个“最后更新”标签里。

W3C 与 GS1 即将举行面向人类与 AI 智能体的电子商务研讨会，多种新兴协议会在同一议程中相遇。公开页面已经暴露出一个细小却会累积后果的记录问题：ACP 指向两个不同的公开技术对象。研讨会若要把发言整理成结论或后续方向，就应先为每次协议引用附上一把简短的“协议钥匙”，锁定对象、版本与治理场所。

让两个互不隶属的团队运行同一套测试，得出完全相同的分数，是一项值得追求的进步。W3C 新成立的 Agent Conformance and Benchmarking Community Group 把它列为成功标准之一。但这个结果只能说明程序在特定条件下可以重跑，不能独自回答三个更难的问题：测量对象是否正确、及格线由谁合理设定、分数可以授权谁作出什么决定。

一部技术工作组章程，既可以为新问题打开门，也可以暂时不决定门后要建什么。WebTransport 的新章程正是如此：点对点能力已有合法的孵化空间，但还没有独立的标准化身份。现在最值得保护的，不是某种方案的先发地位，而是从试验走向规范时那条可见的证据链。

APA 提出的不是减少无障碍审查，而是不要让同一份章程审查请求同时占据两个工作入口。Privacy 则表示仍在使用自己的请求仓库。这个看似细小的自动化分歧，实际要求 W3C 把三件事分开：审查义务、各组采用的工作界面，以及所有人都能核验的中央状态。

W3C 正为 TPAC 2026 的 Data Governance & Ownership 迷你工作坊征集意见。征稿不只问“哪里坏了、W3C 下一步该做什么”，还保留了一项容易被忽略的安排权：若题目与 AI and Society 或 Age Assurance 重叠，组织者可要求投稿人改投相邻工作坊，或另设 breakout。这样做能减少重复，却也会改变提案面对的听众、相邻证据以及它进入拟议 W3C 论文的路径。这个转向应当留痕，但不能被写成标准决定。

W3C 标为现行的 Accessibility Guidelines Working Group 章程把 2026 年 8 月 28 日列为结束日。四个日历日后，9 月 1 日的公开会议纪要草案却记录了继续修改 WCAG 3 文本、接受本次更新并冻结审阅文件的决议。这个时间差不证明工作组无权行动，也不证明续期不存在。它证明公开授权记录与公开工作记录之间缺少一个可点击、可核验的衔接件。

W3C 为 Linked Web Storage Working Group 启动续期时，把“实质变更”写成“无”。同一份公开议题却承认上一份时间表过于乐观，工作组现在希望在 2026 年第四季度或 2027 年第一季度进入 Candidate Recommendation，随后转入维护。8 月 5 日的不可变章程草案尚未把这个方向写成单一规则：五项交付物没有日期，成熟度段落仍要求编辑者“二选一”，还保留了 `Web [spec name]` 与 FooML 时间线。细化期尚未结束；问题不是违规，而是何时才能把“范围不变”变成可供审议的完整文件。

8 月 28 日 12:24 UTC，一封明确写着“Intel 对删除这五项 API 有关切”的邮件进入 W3C Devices and Sensors 工作组公开档案。不到一天后，WHATWG 以“W3C 的 CfC 没有 objection”为条件，把五项规范全部纳入新的 Peripheral APIs Workstream，并在合并说明中同时承认 Intel 的 concerns。8 月 31 日，W3C 联席主席依据“有人提出 concerns”宣布删除提案未形成共识。两个机构处理的议题并不相同，决定权也没有互相转移；真正需要审计的，是一条公开反馈跨越机构边界时，`concern` 如何没有触发另一个机构的 `objection` 条件。

W3C Math Working Group 的会议决议离开会场时仍带着“临时”状态。2026 年章程要求把每项决议送入为期一周的共识征询，让未参会者也能审阅和提出异议。这套安排值得肯定；但到期时只看到“无人反对”，仍不能据此说沉默者都表示了支持。现行 W3C Process 对此划得很清楚：沉默属于弃权，共识同时需要相当数量的积极支持和不存在持续异议。

知识图谱里的一条 `conformsTo` 关系，看上去像一个已经成立的事实。可它也可能是机器沿两条边推出来的结果：某项数据符合一个 profile，而这个 profile 又是某项上位规范的 profile。W3C 8 月 20 日发布的 Profiles Vocabulary 首次公开工作草案把这条推导写进网页规范，却同时暴露出四个尚未对齐的层面：公理仍处于 at risk 状态、符合性含义由共同体定义、随稿发布的 Turtle 文件没有该公理、逐元素实现证据仍是占位表。

“抽查 10%”看起来像一句完整的话，实际上还缺一个决定含义的词：抽谁的 10%。W3C 在 7 月 23 日发布的 WCAG-EM 2.0 写得很明确，随机样本数量等于结构化样本的 10%，并不是整个数字产品页面、界面或状态总量的 10%。如果报告只留下百分比，方法里的校验环节就可能被采购方、产品负责人或公众误读为一项覆盖率承诺。

一个数字可以算得完全正确，却仍然没有准确表达它所代表的判断。W3C 可持续 Web 兴趣组的新稿正面承认了前半个问题：8 月 6 日，仓库把“影响测量”改名为“影响评级”；8 月 18 日，首份小组说明草案以新名称发布。但稿件仍把“人、地球、繁荣”三个维度与预期见效时间相加成一个总分。名称承认了主观判断，排名却可能把判断重新包装成客观事实。

W3C 正在审议的 Web Machine Learning 工作组章程补丁，并非只是在交付物清单里添上一个带“AI”标签的项目。它拟把 JavaScript 工具注册、浏览器中介，以及面向代理的 HTML 表单声明式标注纳入工作范围。然而，同一份差异稿并未更新章程中点名列出的技术协调对象。战略议题已经要求 HTML、ARIA、架构、安全与隐私方面参与评审，公开记录也证明评审确实发生了。尚未写进章程的，是一张能回答“哪一层由谁负责、通过什么渠道沟通、异议由谁处理”的归责图。

W3C 下一轮 WebRTC 章程的一项待合并修正，正在拆开原草案合并处理的两个判断：WebRTC Identity 可以因为缺少实现者兴趣而停止推进；SFrame 也确实与其部分用例有交集；但这不等于 SFrame 接替了身份验证、目标对端约束和浏览器强制媒体隔离等属性。参与安全审查的工作组联合主席已明确承认两项技术并非替代关系，而且组内没有承接这些属性的后续成果。现在需要补上的不是要求旧设计原样存续，而是一份可独立核验的属性去向表。

W3C 于 8 月 19 日启动 Security Interest Group 新章程的公开完善程序。草案的一条边界十分清楚：该组负责建议、审查和范围内的出版物，任何准备进入 Recommendation Track 的机会都应移交有权负责的 Working Group，或先交由孵化组织处理。但同一草案的参与和沟通条款仍写着“本规范”的实现者、每项规范的编辑与测试负责人，以及公开开发规范草案，却没有说明这些角色对应哪一类文档。这里需要修补的是角色与文档状态的绑定关系，而不是把一份未定稿文本写成已经发生的越权事件。

W3C 已把 Web Performance 工作组的授权延长到 2028 年 8 月。新章程最值得留下记录的并不是又一份交付物清单，而是两条证据线：两家实现方表达兴趣，可以让一个新特性获得进入 Candidate Recommendation 维护稿的机会；要证明它能跨独立实现互通，则还需要开放测试和实际结果。前者不能被包装成后者。

一份治理文件最容易过时的部分，往往不是价值判断，而是动词。W3C 咨询委员会在 8 月 4 日发布关于技术工作与人权的 Group Note，其中一项行动写道，可以考虑成立 Threats and Harms Community Group。然而，W3C 另一套公开记录显示，这个同名小组早在 7 月 29 日就已满足五人支持条件并正式启动。问题不是谁说错了，而是提案文件没有位置记录行动已经跨过哪一道门。

WebAppSec 新章程草案没有用虚假的精确日期包装不确定性：17项规范性交付物中，16项明确写着预计完成时间“未定”，另一项只说明将并入 WHATWG Fetch，同样没有日期。这不证明16项工作延期。真正需要补上的，是一份可以说明每项未知由谁复核、下一项有权决定是什么、依赖条件何时变化的公开记录。

Web Speech API 的下一处制度归属已经进入 W3C 的公开议程，可真正授予工作权限的文本却还没有跟上：重订章程的入口把它列为“实质性范围变化”，公开草案仍写着语音识别和语音合成不在 Audio Working Group 的直接范围内。这不是拒绝结论，也不是治理危机，而是一段需要按步骤留痕的权力交接过程。

一份浏览器自动化测试报告写着“符合 WebDriver”，看似已经足够精确。但 W3C 正在审议的新章程，准备让 WebDriver 与 WebDriver BiDi 把 Candidate Recommendation 作为长期维护状态，而不是通向 Recommendation 的短暂停靠点。规范会继续动，测试会继续动，浏览器、驱动与客户端也会继续动。若不注明各自版本，“符合”最终只剩一个会漂移的名称。