如何通过 event.isTrusted 识别事件是由用户触发还是脚本模拟-js教程-PHP中文网

event.istrusted 是布尔属性，true 表示事件由真实用户触发，false 表示由脚本模拟；它不可伪造，但不能替代后端安全校验，仅适用于前端体验优化或基础防误触。

如何通过 event.istrusted 识别事件是由用户触发还是脚本模拟

event.isTrusted 是浏览器原生提供的布尔属性，用于判断一个事件是否由真实用户操作触发（如点击、键盘输入、触摸等），而非通过 dispatchEvent() 等 JavaScript 方法模拟生成。

基本判断逻辑

当事件对象的 isTrusted 属性为 true，表示该事件来自用户交互；若为 false，则说明事件是脚本主动创建并派发的。

用户点击按钮 → click 事件的 isTrusted === true
代码调用 button.click() 或 button.dispatchEvent(new MouseEvent('click')) → 对应事件的 isTrusted === false
即使使用 new MouseEvent('click', { bubbles: true, cancelable: true }) 构造，isTrusted 仍为 false，无法被伪造

常见误判场景与注意事项

不能仅依赖 isTrusted 做安全校验，它只反映事件来源，不保证操作意图合法：

自动化测试工具（如 Puppeteer、Selenium）触发的真实浏览器行为，isTrusted 可能为 true（因底层仍是用户级输入）
某些浏览器扩展或辅助技术也可能生成可信事件
移动端的触摸事件、焦点事件等同样适用该属性，但需注意兼容性（IE 不支持，其他现代浏览器均支持）

实用检测示例

在事件监听中快速区分来源：

button.addEventListener('click', function(event) {
  if (event.isTrusted) {
    console.log('✅ 用户真实点击');
    // 执行核心业务逻辑，如提交表单、跳转页面
  } else {
    console.log('⚠️ 脚本模拟触发，可能需拦截或降级处理');
    // 例如：忽略自动点击、记录日志、拒绝敏感操作
  }
});