onpaste内联属性常失效，因return false不阻止默认行为；正确做法是用addEventListener调用preventDefault()，并注意DOM加载时机、精准选择器及移动端兼容性。
input 和 textarea 的 onpaste 属性为什么经常失效
直接写 onpaste="return false" 不会阻止粘贴，因为浏览器不会自动调用 event.preventDefault()。这个内联 handler 只是返回 false，但事件默认行为（插入剪贴板内容）照常执行。
常见错误包括：
- 用 onpaste="return false" 或空函数；
- 在 iOS Safari 上，内联 onpaste 根本不触发；
- 忘记处理 contenteditable 元素，它们也响应 paste 事件。
正确做法是：显式调用 event.preventDefault()，例如：onpaste="event.preventDefault()"；但更推荐用 JS 绑定，便于复用和调试。
用 addEventListener 稳定拦截 paste 事件
这是目前最可靠的方式，尤其适合批量控制多个输入框。关键点在于绑定时机、目标选择器和兼容性兜底。
- 确保 DOM 加载完成后再执行绑定，否则
querySelectorAll可能返回空列表 - 精准选择目标元素，比如：
input[data-no-paste], textarea.no-paste，避免误伤富文本编辑器 - 不要对
document全局监听paste，否则contenteditable区域可能被意外拦截 - 移动端 Safari 对
paste支持不稳定，部分机型在readonly或contenteditable="false"的input上完全不触发
示例代码：
立即学习“前端免费学习笔记（深入）”；
document.querySelectorAll('input[data-no-paste], textarea[data-no-paste]').forEach(el => {
el.addEventListener('paste', e => e.preventDefault());
});禁粘贴 ≠ 禁剪切板操作，别误伤正常交互
只拦 paste 事件，用户仍可正常使用 Ctrl+C、Ctrl+X、右键菜单——这对密码框、OTP 输入等场景是合理且必要的。
需要额外注意的边界情况：
-
input[type="password"]允许复制已填内容，但禁止粘贴外部数据，这是安全与可用性的平衡点 - 若允许拖拽文本进入输入框，还需监听并阻止
drop事件：el.addEventListener('drop', e => e.preventDefault()) - 某些 Android WebView（尤其旧版本）会忽略
preventDefault()，建议配合input事件做二次过滤，比如检测值中是否含换行符或非 ASCII 字符
敏感字段该用 readonly 还是 span 替代 input
CSS 的 user-select: none 对 input 和 textarea 完全无效，哪怕父容器加了 pointer-events: none，用户依然能聚焦、选中、复制其中内容。
可行方案只有两个：
- 改用
readonly+ 视觉降级：加readonly属性，再配background: #f5f5f5; border: none;模拟只读文本，既保留键盘可访问性，又阻止编辑和粘贴 - 后端渲染时用
span替代input，再套上完整前缀的user-select规则，适用于纯展示型敏感字段（如身份证号末四位） - 绝对不用
disabled：它会导致表单提交时该字段值丢失，且屏幕阅读器跳过，破坏可访问性
真正起效的组合从来不是“前端锁死”，而是服务端校验 + 动态渲染 + 行为审计——前端限制只是第一道轻量门槛，不是防线本身。
