JavaScript跨域写入剪贴板被拦截的根本原因是浏览器强制要求调用必须发生在用户显式交互触发、页面有焦点且处于同源或HTTPS安全上下文中。
JavaScript 中跨域写入剪贴板内容被浏览器拦截，根本原因是现代浏览器（Chrome 84+、Firefox 120+、Safari 16.4+）强制要求：只有在**用户显式交互触发的上下文（如 click、keydown）中**，且当前页面具有**焦点**和**同源或安全上下文（HTTPS）**时，才能调用 navigator.clipboard.writeText() 或 write() 等写入 API。跨域页面（如 iframe 加载不同源内容）默认无权写入主页面剪贴板，这是刻意设计的安全限制，无法绕过，只能合规适配。
确保调用发生在用户手势触发的上下文中
浏览器只允许在可信的用户操作事件回调中执行剪贴板写入。若在异步任务（如 setTimeout、fetch 回调、Promise.then）或非交互事件（如 load、scroll）中调用，会直接抛出 NotAllowedError。
- ✅ 正确做法：绑定到
click、keydown（且 key 为 Enter/Space）、contextmenu等原生交互事件，并在事件处理函数内同步调用 - ❌ 错误做法：在
fetch().then(() => clipboard.writeText(...))或setTimeout(() => ..., 0)中调用 - ⚠️ 注意：事件处理函数不能是异步函数（
async function），否则内部 await 会导致脱离原始事件上下文；如需异步逻辑，应在事件中先调用 clipboard API，再 await 其他操作
避免在跨域 iframe 中直接写入主页面剪贴板
子 iframe 若加载自不同源（如 https://widget.example.com 嵌入到 https://site.com），其脚本默认无权访问父页面的 navigator.clipboard —— 这是同源策略的延伸，不是 bug，而是强制隔离。
Java项目代码review工具。分析Git变更+完整调用链路上下文，推断业务需求，进行多维度评分和分类汇总，生成完整PRD文档。包含细粒度Java代码审查清单（Null安全、异常处理、Streams、并发、equals/hashCode、资源管理、API设计、性能、MyBatis/ORM、事务边界、SQL/DD...
- ✅ 可行方案：由父页面暴露一个受信的消息接口（如监听
message事件），子 iframe 通过postMessage发送写入请求；父页面在收到消息后，在自己的上下文中调用clipboard.writeText() - ✅ 补充验证：父页面应校验
event.origin是否在白名单内，并检查event.data结构，防止恶意调用 - ❌ 不可行：尝试在 iframe 内直接访问
window.parent.navigator.clipboard或使用document.execCommand('copy')（已废弃且同样受跨域限制）
处理拒绝与降级兼容
即使满足上述条件，用户仍可能手动拒绝权限（首次调用时浏览器会弹出权限提示），或浏览器不支持 Clipboard API（如旧版 IE）。必须做好错误捕获与备用方案。
立即学习“Java免费学习笔记（深入）”；
- ✅ 使用 try/catch 捕获
NotAllowedError（用户未授权/非交互上下文）和SecurityError（跨域/非安全上下文） - ✅ 降级到
document.execCommand('copy')仅适用于已选中文本的<input>或<textarea>场景，且需聚焦元素、选中内容后再执行（注意：该 API 已废弃，仅作兼容兜底） - ✅ 提供明确 UI 反馈：例如按钮点击后显示“已复制”或“请手动复制”，并自动选中待复制文本区域，方便用户 Ctrl+C
确认页面运行在安全上下文中
HTTP 协议下，navigator.clipboard API 完全不可用（返回 undefined）。必须部署在 HTTPS 或本地环境（localhost、127.0.0.1）。
- ✅ 开发阶段：使用
http://localhost:3000是允许的，无需 HTTPS - ✅ 生产环境：确保服务器启用 HTTPS，且证书有效；HTTP 页面会静默禁用 Clipboard API
- ✅ 检查方式：在控制台执行
self.isSecureContext，返回true才表示具备调用前提
