oncut事件本身不能防止内容被盗，必须配合preventDefault()；现代浏览器忽略oncut="return false"等内联写法，需用addEventListener监听cut、copy、paste三事件并调用e.preventDefault()，缺一不可。
oncut 事件本身不能防止内容被盗，必须配合 preventDefault()
很多人以为给 <input type="password"> 加 oncut="return false" 就能拦住剪切，实际完全无效。现代浏览器会忽略这种内联写法，用户仍可 Ctrl+X、右键剪切、甚至用开发者工具直接读取 value 属性。真正起效的是在事件回调里显式调用 event.preventDefault()。
监听 cut 事件的正确写法
只监听 paste 不够——用户可以把密码先剪切走，再粘贴到别处。必须同时拦截 copy、cut、paste 三个事件：
const pwdInput = document.getElementById('pwd');
pwdInput.addEventListener('cut', e => e.preventDefault());
pwdInput.addEventListener('copy', e => e.preventDefault());
pwdInput.addEventListener('paste', e => e.preventDefault());
- 缺一不可：漏掉
cut，用户就能把已输入的密码剪切出去 - 不要用
oncut="return false"这类内联写法，Safari 和移动端基本不触发 - 绑定必须在 DOM 加载完成后执行，否则
getElementById返回null
为什么 readonly 或 user-select:none 不是解法
readonly 看似能“锁住”输入框，但它会让密码框无法聚焦、软键盘不弹出（尤其 iOS），且屏幕阅读器可能跳过该字段，违反无障碍规范。而 user-select: none 会禁掉光标定位——用户点不进框内任意位置，连手动修改都困难，还对 Ctrl+A + Ctrl+X 完全无效。
-
readonly是障眼法，删掉属性或禁 JS 后立即失效 -
user-select: none在<input>上被浏览器自动忽略，CSS 不生效 - 两者都不解决核心问题：用户仍可通过 DevTools 查看
value或直接读取 DOM
真正难防的是自动填充和密码管理器
用户最常“意外泄露”的不是手动剪切，而是密码管理器（如 1Password）自动填充后，再一键复制到其他应用。此时：autocomplete="off" 已被 Chrome 无视；name="password_confirm" 这类字段名反而会触发管理器二次填充；用动态 name（如 name="pwd_1723489234"）虽能绕过，但需后端同步识别，维护成本高且影响体验。
立即学习“前端免费学习笔记（深入）”；
比起硬拦剪切，更务实的做法是：禁 paste + 清空剪贴板（需用户手势 + HTTPS）+ 明确提示文案（如“为安全，请手动输入”）。所有前端限制都只是提高门槛，而非真正防护——这点容易被忽略，但必须清楚。
