HTML中未隐藏字符，多数因CSS（如-webkit-text-security: none）或JS干扰导致，而非标签本身失效；需检查样式、确保原生input使用、避免contenteditable覆盖。
HTML 中 <input type="password"> 为什么没隐藏字符
多数情况不是没隐藏，而是被 CSS 或 JS 干扰了。最常见的是样式里写了 text-security: none 或 -webkit-text-security: none，直接覆盖了浏览器默认的圆点掩码行为。另外，如果元素被设为 contenteditable="true" 或套了富文本编辑器（如 div[contenteditable] 模拟输入框），type="password" 根本不生效——它只对原生 <input> 有效。
- 检查开发者工具的 Computed 样式，搜索
text-security，删掉或改成disc - 确认标签是
<input type="password">，不是<input type="text">加 JS 模拟 - 避免用
inputmode="text"或autocomplete="off"以外的属性干扰渲染逻辑
React 里 type="password" 切换后明文闪现
这是受控组件状态更新和 DOM 渲染时序不一致导致的。比如你用 useState 管理 type 值，在点击“显示密码”按钮瞬间把 type 从 "password" 改成 "text"，React 可能先清空输入框再重设类型，造成短暂空白或回显原始值。
Convert Markdown To HTML And PDF - Markdown和HTML、PDF互转
下载
实现 Markdown↔ HTML 互转，支持导出 PDF，用于用户请求的文档格式转换。
- 不要直接切换
type属性，改用两个并存的<input>：一个type="password"，一个type="text"，用hidden控制显隐 - 确保
value和onChange始终绑定同一 state，避免因 type 切换丢失值 - 若必须动态改
type，加key={type}强制重建 DOM 节点，防止 React 复用旧 input 元素
移动端 Safari 输入密码时自动填充覆盖了 type="password"
iOS 16+ 的 Safari 在检测到 name="password" 或 autocomplete="current-password" 时，会强制触发密码建议浮层，有时甚至绕过 type="password" 的掩码逻辑，把明文塞进输入框。这不是 bug，是主动的安全策略——但它会让用户误以为“没隐藏”。
- 保留
autocomplete="current-password"（提升体验），但别依赖它来“控制是否隐藏” - 避免给密码输入框设
autocapitalize="sentences"或spellcheck="true"，这些会干扰密码字段识别 - 如果业务强要求禁用自动填充（如 OTP 场景），可用
autocomplete="off"+ 随机name（如name="pwd-12345"），但注意部分新版 Safari 已忽略autocomplete="off"
用 JavaScript 手动模拟密码隐藏的风险
有人为了“兼容老系统”或“加双层掩码”，用 type="text" + 监听 input 事件 + 把 value 替换成 ★，这非常危险：剪贴板内容未脱敏、焦点切换时明文暴露、无障碍读屏软件无法识别真实语义、复制粘贴失效。
- 永远优先用原生
type="password"，它是操作系统级安全机制，支持密码管理器、生物认证集成 - 若需自定义掩码符号（比如用 ● 而非 •），只能靠 CSS
font-family配合等宽字体微调，不能动 value 本身 - 任何 JS 层面对
input.value的中间处理，都会破坏beforeinput、compositionstart等事件链，中文输入法下极易失焦或乱码
type="password" 本身，而是它被其他层（CSS、框架抽象、自动填充逻辑）悄悄覆盖或绕过了。盯住浏览器 DevTools 的 Elements 和 Computed 面板，比查文档更快定位根源。 
