DataTransfer 不直接承载原始业务负载，需序列化为字符串（如JSON）后按MIME类型存取；HarmonyOS NEXT用UnifiedData封装；严禁传输敏感信息，接收端须校验数据结构。

在跨应用拖拽中，DataTransfer 对象本身不直接承载“原始业务负载”（如 JSON 对象、自定义结构体或业务 ID），而是作为**标准化数据容器**，依赖 MIME 类型约定与平台机制完成语义传递。关键在于：不是把整个对象塞进去，而是用标准格式封装、用约定方式解析。

明确支持的数据类型与限制

DataTransfer 仅支持字符串化、二进制或系统预注册的格式（如 text/plain、text/uri-list、Files）。浏览器和主流平台（Web/WPF/HarmonyOS/Windows UWP）均不接受直接 setData("application/json", { id: 123, type: "task" }) —— 这会静默失败或被转为字符串 "[object Object]"。

• 必须将业务数据序列化为字符串（如 JSON.stringify）后再设置
• 目标端需按相同 MIME 类型调用 getData()，再反序列化（如 JSON.parse）
• HarmonyOS NEXT 和 Windows UWP 支持 UnifiedData 或 DataPackage 封装更丰富元信息，但底层仍需序列化落地

Web 环境下的标准实践

在网页间或网页与 PWA 应用拖拽时，推荐使用 text/plain + 自定义前缀或 application/json（需确保接收方识别）：

• 拖拽源：e.dataTransfer.setData("application/json", JSON.stringify({ taskId: "T-789", status: "todo", projectId: "P-456" }))
• 放置目标：drop 事件中 e.dataTransfer.getData("application/json") → 解析为对象
• 务必在 dragover 中调用 e.preventDefault()，否则 drop 不触发
• 若需兼容旧浏览器，可用 text/plain 并加协议标识，例如：
  setData("text/plain", "X-MYAPP-TASK:{\"taskId\":\"T-789\"}")

鸿蒙 NEXT 跨应用场景

HarmonyOS NEXT 不直接暴露 DataTransfer，而是通过 unifiedDataChannel.UnifiedData 构建可跨应用流转的统一数据对象：

• 发送端：创建 UnifiedData 实例，调用 .addString("business_payload", JSON.stringify(payload)) 或 .addAsset() 附加文件/图片
• 接收端：在 onDragEvent 回调中，从 event.data 获取 UnifiedData，再用 .getString("business_payload") 提取并解析
• 优势：自动处理权限校验、跨沙箱传输、多端一致性，避免手动 MIME 管理

安全与健壮性要点

原始业务负载含敏感字段时，不能依赖客户端传输完整性：

• 禁止在拖拽数据中传递 token、密码、用户身份凭证等敏感信息
• 建议只传轻量标识（如 recordId、urlHash、临时 key），由目标应用服务端查证后加载完整数据
• 接收端必须校验 JSON 结构、字段类型及必要字段存在性，防止解析异常崩溃
• 对不可信来源（如网页拖入桌面应用），应限制 MIME 类型白名单，忽略未知 format