JavaScript中事件对象event中的isTrusted怎么判断当前事件是真实用户点击还是脚本触发-js教程-PHP中文网

istrusted 是事件对象只读布尔属性，标识事件是否由真实用户交互触发：true 表示用户操作，false 表示脚本派发；其值由浏览器内核严格设定且不可伪造，常用于辅助验证但非唯一安全依据。

javascript中事件对象event中的istrusted怎么判断当前事件是真实用户点击还是脚本触发

isTrusted 是事件对象的一个只读布尔属性，用于标识该事件是否由用户真实交互（如点击、键盘输入、触摸等）触发。值为 true 表示事件来自用户操作；false 表示由脚本通过 dispatchEvent() 等方式创建并派发的合成事件。

isTrusted 的判断逻辑

浏览器内核在底层严格区分“可信事件”与“不可信事件”：

所有原生用户交互（鼠标点击、键盘按键、触屏、焦点切换等）生成的事件，isTrusted 自动设为 true；
任何通过 JavaScript 构造事件（如 new MouseEvent('click')）并调用 element.dispatchEvent() 派发的事件，isTrusted 必为 false；
无法通过 JS 修改 isTrusted 值——它是只读且由浏览器内部设定，伪造无效。

实际使用中的注意事项

不能仅依赖 isTrusted === false 就断定是恶意脚本行为——它也可能出现在合法自动化场景中，比如：

单元测试中模拟用户点击；
无障碍工具（如屏幕阅读器）触发的辅助事件；
某些框架或库内部的事件重派发（如 React 合成事件转发）。

因此，isTrusted 更适合作为辅助验证手段，而非唯一安全防线。

简单示例：区分真实点击和脚本触发

在监听函数中直接检查即可：

OpenJDK 24

OpenJDK 24 Windows x64 官方参考实现（24+36），适合 Windows 环境进行 Java 开发、编译、运行和版本兼容性验证。

下载

button.addEventListener('click', function(e) {
  if (e.isTrusted) {
    console.log('✅ 用户真实点击');
  } else {
    console.log('⚠️  脚本触发（或自动化工具）');
  }
});

手动触发时：button.click() 或 button.dispatchEvent(new MouseEvent('click')) 都会让 e.isTrusted 为 false。