HTML中未隐藏字符，多数因CSS（如-webkit-text-security: none）或JS干扰导致，而非标签本身失效；需检查样式、确保原生input使用、避免contenteditable覆盖。
HTML 中
多数情况不是没隐藏，而是被 CSS 或 JS 干扰了。最常见的是样式里写了 text-security: none 或 -webkit-text-security: none，直接覆盖了浏览器默认的圆点掩码行为。另外，如果元素被设为 contenteditable="true" 或套了富文本编辑器（如 div[contenteditable] 模拟输入框），type="password" 根本不生效——它只对原生 有效。
- 检查开发者工具的 Computed 样式，搜索
text-security，删掉或改成disc - 确认标签是
，不是加 JS 模拟 - 避免用
inputmode="text"或autocomplete="off"以外的属性干扰渲染逻辑
React 里 type="password" 切换后明文闪现
这是受控组件状态更新和 DOM 渲染时序不一致导致的。比如你用 useState 管理 type 值，在点击“显示密码”按钮瞬间把 type 从 "password" 改成 "text"，React 可能先清空输入框再重设类型，造成短暂空白或回显原始值。
- 不要直接切换
type属性，改用两个并存的：一个type="password"，一个type="text"，用hidden控制显隐 - 确保
value和onChange始终绑定同一 state，避免因 type 切换丢失值 - 若必须动态改
type，加key={type}强制重建 DOM 节点，防止 React 复用旧 input 元素
移动端 Safari 输入密码时自动填充覆盖了 type="password"
iOS 16+ 的 Safari 在检测到 name="password" 或 autocomplete="current-password" 时，会强制触发密码建议浮层，有时甚至绕过 type="password" 的掩码逻辑，把明文塞进输入框。这不是 bug，是主动的安全策略——但它会让用户误以为“没隐藏”。
把任意文章或文档内容转换成精美的全屏翻页 HTML 演示文件（幻灯片风格）。当用户发来一篇文章、文档链接、Markdown 内容、或粘贴的文本，并且希望生成演示用的 HTML 时触发。支持任意内容来源：iWiki 链接、KM 链接、本地文件路径、直接粘贴的文本。生成的 HTML 文件保存到本地工作区，并通过企微直接发送给用户。触发词示例：帮我把这篇文章做成PPT、转成演示文档、生成HTML幻灯片、做个演示、转成可以演示的格式、article to deck、make a slide。
- 保留
autocomplete="current-password"（提升体验），但别依赖它来“控制是否隐藏” - 避免给密码输入框设
autocapitalize="sentences"或spellcheck="true"，这些会干扰密码字段识别 - 如果业务强要求禁用自动填充（如 OTP 场景），可用
autocomplete="off"+ 随机name（如name="pwd-12345"），但注意部分新版 Safari 已忽略autocomplete="off"
用 JavaScript 手动模拟密码隐藏的风险
有人为了“兼容老系统”或“加双层掩码”，用 type="text" + 监听 input 事件 + 把 value 替换成 ★，这非常危险：剪贴板内容未脱敏、焦点切换时明文暴露、无障碍读屏软件无法识别真实语义、复制粘贴失效。
- 永远优先用原生
type="password"，它是操作系统级安全机制，支持密码管理器、生物认证集成 - 若需自定义掩码符号（比如用 ● 而非 •），只能靠 CSS
font-family配合等宽字体微调，不能动 value 本身 - 任何 JS 层面对
input.value的中间处理，都会破坏beforeinput、compositionstart等事件链，中文输入法下极易失焦或乱码
实际项目里，真正出问题的往往不是 type="password" 本身，而是它被其他层（CSS、框架抽象、自动填充逻辑）悄悄覆盖或绕过了。盯住浏览器 DevTools 的 Elements 和 Computed 面板，比查文档更快定位根源。
