isTrusted 是事件对象只读布尔属性，标识事件是否由真实用户交互触发：true 表示用户操作，false 表示脚本派发；其值由浏览器内核严格设定且不可伪造，常用于辅助验证但非唯一安全依据。
isTrusted 是事件对象的一个只读布尔属性，用于标识该事件是否由用户真实交互（如点击、键盘输入、触摸等）触发。值为 true 表示事件来自用户操作；false 表示由脚本通过 dispatchEvent() 等方式创建并派发的合成事件。
isTrusted 的判断逻辑
浏览器内核在底层严格区分“可信事件”与“不可信事件”：
- 所有原生用户交互（鼠标点击、键盘按键、触屏、焦点切换等）生成的事件，
isTrusted自动设为true； - 任何通过 JavaScript 构造事件（如
new MouseEvent('click')）并调用element.dispatchEvent()派发的事件，isTrusted必为false； - 无法通过 JS 修改
isTrusted值——它是只读且由浏览器内部设定，伪造无效。
实际使用中的注意事项
不能仅依赖 isTrusted === false 就断定是恶意脚本行为——它也可能出现在合法自动化场景中，比如：
- 单元测试中模拟用户点击；
- 无障碍工具（如屏幕阅读器）触发的辅助事件；
- 某些框架或库内部的事件重派发（如 React 合成事件转发）。
因此，isTrusted 更适合作为辅助验证手段，而非唯一安全防线。
立即学习“Java免费学习笔记（深入）”；
简单示例：区分真实点击和脚本触发
在监听函数中直接检查即可：
button.addEventListener('click', function(e) {
if (e.isTrusted) {
console.log('✅ 用户真实点击');
} else {
console.log('⚠️ 脚本触发（或自动化工具）');
}
});
手动触发时：button.click() 或 button.dispatchEvent(new MouseEvent('click')) 都会让 e.isTrusted 为 false。
兼容性与替代思路
isTrusted 在现代浏览器（Chrome 45+、Firefox 48+、Safari 10.1+、Edge 79+）中已广泛支持。IE 不支持，但 IE 已淘汰。
若需更精细判断（如防刷、防自动化），建议结合其他信号：
- 检查事件的
clientX/clientY是否为 0 或异常值； - 观察事件触发频率是否符合人类操作节奏；
- 配合
document.hasFocus()、event.target.matches(':hover')等上下文判断。
单独靠 isTrusted 无法防御高级自动化工具，但它是最直接、最标准的初始过滤依据。
