oncopy="alert(...)"基本失效，因现代浏览器静默忽略内联事件且无法获取选中文本或校验敏感信息；应改用addeventlistener('copy', ...)配合preventdefault()和正则匹配实现可控警示。
直接用 oncopy 属性弹警示框已不可靠——现代浏览器（Chrome 90+、Firefox 100+）会静默忽略内联 oncopy="alert(...)”，且用户可轻易禁用 JS 或删掉监听器。真要触发警示，必须用 addEventListener 绑定，并配合 preventDefault() 控制时机。
为什么oncopy="alert(...)"基本失效
内联事件属性（如 oncopy="alert('警告')"）在多数现代浏览器中不再触发 alert，尤其当页面启用了 CSP（Content-Security-Policy）或处于 iframe 沙箱环境时。更关键的是：这类写法无法获取选中文本内容，也无法判断是否含敏感字段（如身份证号、银行卡号），纯属“无差别弹窗”，容易被绕过或误报。
用addEventListener('copy', ...)捕获并分析选中内容
真正可控的方式是监听全局或目标元素的 copy 事件，在 event.preventDefault() 前检查 window.getSelection().toString() 是否匹配敏感模式：
- 只对特定区域（如含
data-sensitive="true"的<div>）绑定，避免全页干扰 <li>用正则粗筛常见敏感格式：<code>/\b\d{17}[\dXx]\b/i（18位身份证）、/\b\d{4}\s?\d{4}\s?\d{4}\s?\d{4}\b/（银行卡） - 警示后仍允许复制（不调
e.preventDefault()），或仅对高危片段拦截（如匹配到身份证号才阻止） - 注意移动端：
getSelection()在 iOS Safari 中可能为空，需 fallback 到document.activeElement的value或innerText - 用
console.warn()输出结构化日志，方便审计（例如：console.warn('[SECURITY] Copy blocked: ID card pattern detected', selectionText)） - 在页面右上角浮层显示非模态提示（含“确认复制”按钮），避免阻断操作流
- 若业务强要求阻断，务必同时提供替代路径（如“点击申请导出”按钮走后端鉴权）
- 所有警示必须声明依据（如“根据《个人信息保护法》第22条”），否则法律效力存疑
警示文案和交互必须明确告知风险，不能只弹“禁止复制”
单纯弹 alert('禁止复制') 违反无障碍规范，也易被脚本拦截。更稳妥的做法是：
最常被忽略的一点：警示本身不能成为安全防线。哪怕弹了十次警告，用户仍可截图、录屏、或通过 DevTools 手动提取 DOM 文本。真正敏感的数据，不该出现在前端可访问的 HTML 或 JS 变量里——这是设计源头问题，不是事件监听能解决的。
