input[type="date"]的onpaste无效是因浏览器规范屏蔽粘贴事件；应监听change校验日期合法性，配合setCustomValidity和后端双重验证，并注意时区差异。
input[type="date"] 的 onpaste 为什么无效
因为原生 input[type="date"] 不触发 onpaste 事件——浏览器压根不把粘贴行为派发给它。你加 onpaste="return false" 或监听 paste 事件，都不会执行。这不是你的 JS 写错了，是规范限制：日期输入框只接受日历选择、键盘上下键和手动输入（且仅限 YYYY-MM-DD 格式），但粘贴被底层屏蔽，连事件都不抛。
真正能绕过 min/max 的是手动输入，不是粘贴
用户根本不需要粘贴，就能输进非法日期：2020-01-01、9999-99-99、abc 都能直接敲进去。所以重点不该是“禁粘贴”，而是“清非法值”。
- 监听
change事件（不是input），等用户选完或失焦后再校验 - 用
new Date(input.value)转成日期对象再比大小，别直接字符串比较（"2026-08-2"会小于"2026-08-10"） - 校验失败时设
input.value = ""，比弹alert更干净，也避免阻塞表单流程 - 配合
input.setCustomValidity("日期超出范围")，触发表单原生提交拦截
移动端和 Safari 的 min/max 基本靠不住
iOS Safari 和部分 Android WebView 完全忽略 min 和 max 属性，日历里所有日期都可点，:invalid 伪类也不生效。所以：
- 别写
input:invalid { border: 1px solid red; }做视觉提示——在 Safari 里不会显示 -
min和max动态设置必须用字符串，且严格YYYY-MM-DD格式：input.min = new Date().toISOString().slice(0, 10) - 服务端收到的
date字段必须重新 parse：先用正则/^\d{4}-\d{2}-\d{2}$/初筛，再转Date对象比范围，最后还要处理时区——前端选的2026-10-20在 UTC 是2026-10-19T16:00:00Z
真要防输入，就得换方案
原生 input[type="date"] 的设计目标是“辅助输入”，不是“强制控制”。如果你的业务不允许任何越界可能（比如医疗预约、签证申请），就别硬扛：
立即学习“前端免费学习笔记（深入）”；
- 用
flatpickr或dayjs + 自定义弹层，它们能真正禁用面板里的非法日期、拦截键盘输入、统一处理跨月逻辑 - 或者退一步，改用
input[type="text"]+pattern="\d{4}-\d{2}-\d{2}"+ JS 校验，至少能把乱码挡在第一关 - 最常被忽略的一点：用户本地时区和后端解析逻辑不一致，会导致同一天在前后端被判定为不同日期，这个坑比粘贴难查得多
