米侠浏览器需通过权限控制、脚本拦截和输入保护三方面设防：禁用剪贴板、设备方向等高危api；启用广告过滤并添加用户脚本封禁input/keydown监听；强制https且校准系统时间；敏感操作必须在无痕窗口中独立执行。
网页可能在你输入密码、银行卡号或身份证号时，通过监听键盘事件、剪贴板API或焦点劫持悄悄捕获内容，米侠浏览器需从权限控制、脚本拦截和输入保护三方面同步设防，单靠关闭弹窗或广告过滤无法阻止这类隐蔽窃取行为。
禁用高危输入相关API权限
Canvas指纹、WebRTC、剪贴板读写、设备方向等API常被用于构建用户行为画像或实时监听输入动作。这些接口一旦开放，恶意网站可在你敲击键盘的瞬间捕获键码序列甚至光标位置。
打开米侠浏览器→点击右上角「三个点」→「设置」→「隐私与安全」→「网站设置」→「高级权限」。
将【剪贴板读取】、【剪贴板写入】、【设备方向】、【振动】四项统一设为“禁止”；若存在“键盘事件监听”或“input事件捕获”开关，也必须关闭——【开启状态下，网站可监听所有按键，包括密码框内输入】。
返回任意含登录框的网页（如银行网银页），尝试点击密码框后按任意键，若光标未跳动或无响应，说明权限已生效。
拦截窃取型JavaScript行为
很多窃取脚本不依赖弹窗，而是静默注入document.addEventListener('input', ...)或覆盖window.prompt，专门盯住表单字段。内置广告过滤对此类逻辑型窃取识别率不足，必须补强脚本级拦截。
方法一：启用增强版通用广告过滤（基础层）
已在「设置→高级」中开启该开关，它默认屏蔽90%以上oninput/onkeydown劫持脚本，但对内联script无效。
方法二：添加用户脚本主动封禁关键API（核心层）
回到首页→点击底部「三横线」→「脚本精灵」→新增脚本→粘贴以下代码：
document.addEventListener = function(){return null;};<br>
window.addEventListener = function(type){if(/input|keydown|paste/i.test(type)) return null;};<br>
navigator.clipboard.readText = navigator.clipboard.writeText = function(){return Promise.reject();};
保存后立即生效，不影响页面正常渲染和提交功能。
方法三：手动屏蔽已知窃取域名（追加层）
当你在某网页输入时发现光标异常卡顿、页面自动滚动或出现非预期提示，立即长按输入框附近空白区域→选择「屏蔽此广告」→确认。系统会提取发起监听的JS域名（如 track-input.net、keylog-cdn.com），后续该域名所有资源加载均被DNS级阻断。
强制启用HTTPS-only并校准系统时间
明文HTTP连接下，中间人可直接篡改网页DOM，向表单插入隐藏监听脚本，而你完全无法察觉。HTTPS-only模式能切断这种篡改链路，但前提是证书验证有效——而90%的证书失败源于设备时间偏差。
第一步：进入「设置」→「隐私与安全」→ 开启「仅允许HTTPS连接」开关；
第二步：返回桌面→长按手机状态栏时间→进入系统时间设置→关闭「自动设置日期和时间」→手动校准至当前准确时间（误差不超过±3秒）；
第三步：重启米侠浏览器→访问 https://httpbin.org/headers →检查响应头中是否含 Strict-Transport-Security 字段——有则说明HTTPS强制策略已生效。
若仍提示“连接不安全”，不要点击“继续访问”，先检查时间是否回退到2025年或更早——【时间错误会导致证书被判定为过期，从而降级到HTTP，窃取脚本即可乘虚而入】。
隔离敏感操作会话
即使完成上述配置，若你在同一标签页里先查天气再输银行卡号，仍存在跨域脚本残留风险。必须将高危操作限定在完全隔离的上下文中执行。
① 点击屏幕底部「窗口」图标（□）→ 在标签页概览页点击左下角「无痕」按钮；
② 地址栏获得焦点后，直接输入目标网址（如 bank.example.com），**不要从历史记录或收藏夹点击进入**；
③ 输入完成后，立即关闭该无痕标签页——此时所有监听器、临时缓存、内存中的键码映射全部销毁；
④ 若需反复操作，每次新开无痕页，绝不复用。
这一步不可跳过。普通标签页中，即便关闭网页，部分监听事件仍驻留在V8引擎上下文中，等待下次focus触发。
