math.random() 生成密码易出错因舍入误差和边界判断失误：parseint可能nan，循环长度少1，clipboard api需同步调用且兼容旧版safari。
用 JavaScript 的 Math.random() 生成密码时，为什么总出现重复字符或长度不准？
直接用 Math.random() 取整再查表，容易因舍入误差导致某些字符概率偏高，或拼接时漏掉边界判断。比如写成 Math.floor(Math.random() * chars.length) 是对的，但若用 parseInt(Math.random() * chars.length) 就可能返回 NaN（当 Math.random() 返回 0 时，parseInt("0.x") 解析为 0 没问题，但若字符串格式异常就危险）。
更常见的是长度控制出错：用户选了 12 位，结果只生成了 11 个字符——因为循环用了 for (let i = 0; i 这类 off-by-one 错误。
- 确保循环条件是
i ，不是 <code>i 或 <code>i - 字符源字符串不要包含易混淆字符（如
0、O、l、1），否则用户复制后输错 - 如果允许「排除相似字符」选项，应在生成前过滤掉这些字符，而不是生成后再替换（后者可能破坏长度）
HTML 表单怎么安全地绑定密码生成逻辑，又不暴露配置？
把密码规则（比如是否含符号、最小大写字母数）全写在 HTML data- 属性里看似方便，但用户打开开发者工具就能看到完整策略，等于把密码强度逻辑“明文发布”。更糟的是，有人会据此反向推测你的系统允许哪些字符集，增加暴力破解线索。
正确做法是：HTML 只负责收集用户意图（如勾选“包含符号”），所有字符池构建和采样逻辑放在 JS 里，且不把完整字符表打印到控制台。
- 用
document.querySelector('[name="include-symbols"]').checked读取开关状态，别用dataset存字符集 - 字符池用函数动态组装：
let pool = '';然后根据选项累加pool += symbols;，而不是预定义一个大字符串再切片 - 禁用右键和文本选择（
oncontextmenu="return false"+user-select: none）仅防误操作，不能替代逻辑层防护
crypto.getRandomValues() 比 Math.random() 好在哪？什么时候必须换？
浏览器环境下，只要密码用于真实账户注册、API 密钥生成等安全场景，就必须用 crypto.getRandomValues()。它基于操作系统级熵源，不可预测；而 Math.random() 是确定性伪随机算法，种子可能被推测（尤其在 SSR 渲染或调试模式下）。
不过它不能直接生成字符串，得配合类型数组转换：
const array = new Uint8Array(length);
crypto.getRandomValues(array);
return Array.from(array, x => chars[x % chars.length]).join('');
注意两点：
-
chars.length不能是 256 的约数时，x % chars.length会轻微倾斜分布（比如chars长 95，Uint8Array值域 0–255，256 % 95 = 66，前 66 个字符概率略高）。对一般工具影响不大，但金融类应用应改用拒绝采样（reject sampling） - IE 不支持
crypto.getRandomValues()，如需兼容，降级方案不是用Math.random()，而是提示“当前浏览器不支持安全密码生成”
复制到剪贴板为什么经常失败？navigator.clipboard.writeText() 的实际限制
调用 navigator.clipboard.writeText() 报错 "NotAllowedError: Write permission denied" 不是因为代码写错了，而是浏览器策略：该 API 只能在用户手势触发的上下文中运行（比如 click、keydown），且不能在异步回调里延迟调用（如 setTimeout(() => clipboard.writeText(), 100)）。
- 事件监听必须绑定在按钮上，且 handler 内直接调用
writeText()，中间不能穿插 Promise.then 或 await（除非确保整个链仍在用户手势生命周期内） - 移动端 Safari 对
clipboardAPI 支持较晚（iOS 13.4+），旧版本需回退到document.execCommand('copy')（已废弃但仍有用） - 写入前建议先
clipboard.readText()测试权限是否就绪，避免静默失败
真正难的不是生成密码，而是让每次点击“生成”都得到符合预期、可验证、不被截获的字符串——尤其是用户关掉页面前没来得及复制那次。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
