body.onpaste不能直接拦截非法格式文本，必须调用event.preventDefault()后手动读取clipboardData并按业务规则过滤，且需区分元素类型、避免误伤表单控件，移动端还需为关键输入框单独绑定。
body.onpaste 不能直接拦截非法格式文本——它只负责“收到通知”，真正过滤必须手动阻止默认行为并重写插入逻辑。
为什么直接写 onpaste="return false" 不行
这种写法会彻底禁掉所有粘贴，包括用户想粘纯数字、英文、换行符等合法内容；而且对 <input> 和 <textarea> 来说，浏览器仍可能在某些场景（如右键菜单粘贴）绕过该拦截。更关键的是：它不区分“非法格式”，只是暴力屏蔽。
body 上监听 paste 事件的正确姿势
要在全局层面做格式过滤，得用 addEventListener + 精准判断目标元素，避免误伤表单控件：
- 必须先调用
event.preventDefault()，否则后续读取和重写都无效 - 只对非原生可编辑元素（即既不是
<input>、<textarea>，也不含contenteditable="true"）才接管粘贴逻辑 - 读取前务必判空：
const cd = event.clipboardData || window.clipboardData，否则 IE 或 iframe 中会报错 - 检查
cd.types是否包含'text/plain'，再调用cd.getData('text/plain')，避免TypeError
怎么定义和过滤“非法格式”文本
所谓“非法”，取决于你的业务规则，比如禁止 HTML 标签、禁止 emoji、禁止连续空白符或控制字符。过滤不是靠黑名单式删光，而是保留白名单结构：
立即学习“前端免费学习笔记（深入）”；
- 用
rawText.replace(/]*>/g, '')去 HTML 标签，但别用.replace(/\s+/g, ' ')直接压平换行——这会让用户粘贴的多行地址变成一行 - 检测是否含非 ASCII 字符（如中文、日文）可用
/[^\x00-\x7F]/.test(text)，但需确认业务是否真要禁中文 - 对密码类输入框，建议额外加一层校验：粘贴后若值含
\n或长度突增 >50 字符，立即input.value = ''并input.setSelectionRange(0, 0) - 移动端 Safari 在
body上监听paste可能完全不触发，必须为关键输入框单独绑定，不能只靠 body 兜底
真正难的不是写正则，而是区分哪些元素该放行、哪些该过滤、哪些该警告——body 太宽泛，一招拦截容易把 <textarea> 里的代码块也砍掉。实际项目里，90% 的合理过滤都在具体输入框上做，body.onpaste 仅适合兜底或日志上报。
