HTML5不支持浏览器自动加密剪贴板内容，所谓“加密写入”实为前端JS调用加密库（如Web Crypto API）对明文加密后再写入密文，粘贴后需在可信环境手动解密；剪贴板属操作系统级共享区域，浏览器无权加解密保护。
HTML5 本身不提供对剪贴板内容的“加密写入”能力——浏览器出于安全限制，不允许网页在写入剪贴板前自动加密、也不允许拦截或修改用户粘贴时的原始数据。所谓“剪贴板加密写入”，实际是指：在将敏感信息写入剪贴板前，由前端 JavaScript 主动加密（如用 AES），再把密文写入；用户粘贴后，需配合解密端（如另一网页、客户端工具）才能还原明文。这本质是应用层约定，非浏览器内置功能。
为什么不能真正“加密剪贴板”？
剪贴板是操作系统级共享区域，浏览器无权对其内容加解密保护。HTML5 的 navigator.clipboard.writeText() 只接受字符串（或 Blob），它写入的就是你传进去的内容——若传的是密文，那剪贴板里存的就是密文；若传的是明文，就是明文。浏览器不会、也不能偷偷加密。
- 写入时加密，靠的是开发者调用加密库（如
crypto-js或 Web Crypto API）先处理数据 - 粘贴时解密，需用户主动把密文粘贴到支持对应算法的解密环境，否则看到的就是乱码
- 无法防止用户截图、录屏、或在粘贴前用其他程序读取剪贴板原始内容
可行的前端加密写入步骤（以 AES-GCM 为例）
使用 Web Crypto API 实现较安全的客户端加密写入（无需网络传输密钥）：
- 生成随机密钥（
crypto.subtle.generateKey('AES-GCM', true, ['encrypt', 'decrypt'])） - 用该密钥加密明文（注意：需生成随机 IV，并与密文一起序列化存储）
- 将加密结果（Base64 编码后的密文 + IV + 算法标识）拼成字符串，调用
clipboard.writeText() - 提示用户：“已复制加密内容，请在可信环境中粘贴解密”
⚠️ 注意：密钥不可硬编码，也不应直接暴露给用户；若需跨设备解密，密钥/口令必须另行安全传递（如扫码、手动输入口令派生密钥）。
立即学习“前端免费学习笔记（深入）”；
更实用的替代思路：避免敏感内容进剪贴板
比起“加密写入”，更推荐从源头降低风险：
- 敏感字段（如密码、令牌）默认禁用复制，仅提供“显示一次”+“自动清除”的明文预览
- 用一次性链接代替复制 Token（如生成带 TTL 的短链，点击即跳转授权）
- 敏感操作（如转账地址）采用扫码确认，绕过剪贴板中转
- 写入剪贴板前弹窗二次确认，并高亮标注“此内容为加密密文”
常见误区提醒
不要误信以下说法：
- “监听
paste事件就能解密粘贴内容” → 浏览器禁止网页读取未授权粘贴的剪贴板数据（需用户主动触发粘贴且页面有焦点） - “用
execCommand('copy')能绕过限制” → 已废弃，且同样不提供加密能力 - “服务端生成密文再下发” → 若密钥或算法逻辑暴露，前端加密形同虚设
剪贴板不是保险箱。加密写入只是提升门槛，不能替代权限控制、传输加密和用户教育。
