webhid api 无法访问鼠标和键盘等敏感 hid 设备的底层事件，这是浏览器出于隐私与安全强制实施的限制；目前没有合规的 web 技术能绕过该限制获取真正低级的原始输入流。
webhid api 无法访问鼠标和键盘等敏感 hid 设备的底层事件，这是浏览器出于隐私与安全强制实施的限制；目前没有合规的 web 技术能绕过该限制获取真正低级的原始输入流。
WebHID API 虽然为网页提供了与 HID 设备（如游戏手柄、自定义传感器、工业控制器）直接通信的能力，但明确禁止访问通用人机输入设备（如标准键盘、鼠标、触摸板）的原始输入报告。这一设计并非技术缺陷，而是核心安全策略：若网页可无限制读取 inputreport 中的原始扫描码或坐标数据，将极易构建隐蔽式输入监听器（keylogger/mouselogger），严重威胁用户凭证、隐私内容与操作安全。
✅ WebHID 支持什么？
- 游戏手柄（HID Usage Page 0x01, Usage 0x05）、绘图板、VR 控制器等非通用输入设备；
- 自定义 HID 设备（需厂商指定 usagePage/usage 并通过 filters 显式声明）；
- 需用户主动点击授权弹窗（navigator.hid.requestDevice()）后才可访问。
❌ WebHID 明确阻止什么？
根据 WICG WebHID Blocklist，以下设备类型被硬编码屏蔽：
- 键盘（Usage Page 0x01, Usage 0x06）
- 鼠标（Usage Page 0x01, Usage 0x02）
- 触摸板、触控屏、笔输入（Usage Page 0x0D）
- 任何匹配 vendorId + productId 在黑名单中的设备
即使你在代码中使用空 filters: []，requestDevice() 返回的设备列表也自动过滤掉上述设备——因此 device.addEventListener('inputreport', ...) 永远不会触发，这也是你遇到“EventListener 未触发”的根本原因。
? 替代方案：合法且受限的输入捕获方式
虽然无法获取底层 HID 报文，但现代 Web 提供了符合安全边界的替代接口：
| 场景 | 推荐 API | 特点 |
|---|---|---|
| 键盘按键行为 | keydown / keyup（含 event.code, event.key, event.location） | 受焦点与输入法影响，不暴露原始扫描码，但满足大多数交互需求 |
| 鼠标动作 | mousedown / mousemove / wheel（配合 getCoalescedEvents() 获取高频率采样） | 提供逻辑坐标与按钮状态，无法获取原始 DPI 级位移或未处理的硬件抖动 |
| 全局快捷键 | document.addEventListener('keydown', handler, { capture: true }) | 可捕获页面外焦点下的组合键（如 Ctrl+Shift+X），但仍受浏览器快捷键拦截（如 Ctrl+T） |
| 指针精度增强 | PointerEvent.coalesce() + getPredictedEvents()（Chrome/Edge） | 适用于绘图类应用，提升轨迹平滑度，但仍是合成后的逻辑事件 |
// ✅ 推荐：使用 PointerEvent 获取高保真鼠标/触控轨迹
canvas.addEventListener('pointermove', (e) => {
const events = e.getCoalescedEvents(); // 获取本次帧内所有原始指针事件
events.forEach(evt => {
console.log(`X: ${evt.clientX}, Y: ${evt.clientY}, Pressure: ${evt.pressure}`);
});
});⚠️ 重要注意事项
- 不要尝试绕过限制：修改 UA、注入 iframe、滥用 WebAssembly 或 WebGL 读取内存等方式均违反浏览器安全模型，不仅无效，还可能导致站点被标记为恶意；
- 服务端方案不适用：Web 环境本质是沙箱，任何客户端 JS 均无法突破操作系统级输入监控权限（这需原生应用+系统级权限）；
- 企业/可信环境例外：Chrome 扩展（"usb" 权限 + manifest.json 声明）或 Electron 应用可通过原生模块实现，但这已脱离纯 Web 范畴。
✅ 总结
Web 的安全模型决定了：“低级输入访问” 与 “用户隐私保护” 不可兼得。WebHID 的 blocklist 是刻意为之的安全护栏，而非待修复的 Bug。开发者应转向语义化、事件驱动的 Web API（如 KeyboardEvent、PointerEvent、Gamepad API），在保障用户体验的同时，严格遵守平台安全契约。如业务强依赖原始 HID 数据（如硬件调试、无障碍辅助工具），请评估原生应用或专用桌面客户端方案。
