在瀏覽器裡複製剛產生的密碼之後，剪貼簿歷程為什麼還會留下明文

產生一串密碼之後，最常見的下一步是點頁面上的複製，再貼到註冊表單、路由器後台或伺服器面板。按鈕的文案像是「送到你指定的地方」。實際順序相反：瀏覽器先呼叫 navigator.clipboard.writeText，把字串交給作業系統；貼上只是之後某一次讀取。在兩次動作之間，明文已經不屬於那個分頁獨有。

UsePwd 的密碼產生器就是這條路徑。隨機模式長度 6–128 字元，預設 16 字元；低於 8 字元會提示安全性較低。字元在目前分頁用 Web Crypto 抽出，開啟即用，不必註冊。複製成功後的提示是「已複製到剪貼簿」，說的是系統剪貼簿，不是「只存在於下一個輸入欄」。伺服器請求體裡不會出現這串明文；安全說明回答的是「會不會離開瀏覽器、發給 UsePwd」。本篇要補的是另一層：離開分頁之後，作業系統還留不留得住。

這和「新金鑰為什麼不該再發到聊天視窗」不是同一層。那篇寫的是你主動把 API Key 貼進可搜尋、可同步、可歸檔的頻道；見雲端平台環境變數被拖走之後，新金鑰為什麼不該再發到聊天視窗。本篇發生在貼出去之前：你甚至還沒打開聊天，Win+V 或另一台已登入裝置上，已經可能再讀到剛才那一串。

Windows 10 和 Windows 11 都提供剪貼簿歷程記錄。第一次使用時，按 Windows 標誌鍵+V，再選「開啟」。之後每一次一般複製，只要內容符合格式，就會進入這份清單。Microsoft 支援文件寫明：歷程最多保留 25 筆；單筆不超過 4 MB；支援的格式包括文字、HTML 和點陣圖。較早、沒有釘選的項目會被擠掉，給新項目讓位。

重新開機會清掉未釘選的歷程。釘選的項目例外：它們不會因為重新開機或「為新項目騰出位置」而消失。要刪一筆，開啟 Win+V，點該筆旁邊的「查看更多」再選刪除。要一次清掉裝置上和雲端裡未釘選的內容，走「設定 → 系統 → 剪貼簿 → 清除剪貼簿資料」，或在歷程面板頂部選「全部清除」。這幾步都寫在 Microsoft 支援〈使用剪貼簿〉 裡，可以用你自己的機器對一遍。

一串密碼通常遠小於 4 MB，所以長度不是門檻。16 字元隨機字元、128 字元隨機字元，或一次複製多組密碼（產生器可以把目前清單用換行拼成一段再複製），都會作為文字進入歷程。螢幕擷圖也走剪貼簿：若你把畫面上剛顯示的密碼擷下來，點陣圖同樣可能占掉 25 筆裡的一筆。歷程面板裡能看見文字，不等於只有文字這一種載體。

Windows 的跨裝置同步綁在 Microsoft 帳號或公司帳號上。路徑是「設定 → 系統 → 剪貼簿」，開啟「跨裝置的剪貼簿歷程記錄」。自動同步會把你複製的文字上傳到雲端，再送到使用同一登入資訊的其他裝置。手動同步則要求你先按 Win+V，再點該筆上的同步按鈕，然後文字才會上傳。兩種模式都寫在同一篇 Microsoft 支援文件裡。差別不是「會不會進雲端」，而是「每一次複製都進，還是你點了才進」。

Apple 裝置走另一條管道。通用剪貼板（Universal Clipboard）建立在「接力」上：同一 Apple 帳號、彼此靠近的裝置，可以在一台複製、在另一台貼上。Apple 的 〈Handoff security〉（頁面標明發布於 2021 年 2 月 18 日）寫過兩件能直接核對的事。第一，剪貼簿內容預設參與通用分享，除非應用程式開發者明確禁止。第二，應用程式可以在使用者尚未貼上的情況下讀取剪貼簿；接力開啟後，這種讀取會延伸到該使用者其他已登入裝置上的應用程式。

傳輸過程本身有加密：「接力」用藍牙低功耗通告，活動負載按類似 iMessage 的方式保護，較大資料再走點對點 Wi-Fi 上的 TLS。這些只說明「路上的人未必能拆開」，不說明「家裡那台公用 iPad 讀不到」。信任模型是帳號，不是單台電腦。家庭共用一個 Apple 帳號、公司電腦和個人電腦登入同一個 Microsoft 帳號，都會把剛才那串密碼的可讀範圍放大一圈。

Microsoft 在 Win32 文件裡單獨列過「雲端剪貼簿和剪貼簿歷程格式」。應用程式如果不希望自己放入剪貼簿的資料進入歷程或同步到其他裝置，可以註冊並寫入這些格式：ExcludeClipboardContentFromMonitorProcessing 會讓這次放入的全部格式都不進歷程、不同步；CanIncludeInClipboardHistory 放入值為 0 的 DWORD 時不進歷程，值為 1 時明確要求進入歷程；CanUploadToCloudClipboard 的 0 和 1 則只控制雲端同步，不影響本機歷程。說明見 Microsoft Learn〈Clipboard Formats〉。

密碼管理員和 Windows 認證管理員走的是這條原生介面。瀏覽器網頁裡的 navigator.clipboard.writeText 沒有對等能力：它只能寫入文字，不能附帶上述排除標記。所以從網頁點複製，系統和第三方剪貼簿工具會把它當成一般文字。這不是某家網站「忘了加密」，而是網頁被允許使用的剪貼簿介面本來就停在文字這一層。

UsePwd 不是密碼庫，也不提供帳號。頂欄右側只有語言切換。產生頁、檢測頁都開啟即用。檢測在本機估算強度，並對照隨頁面提供的公開洩露弱密碼名單，待測密碼不上傳，也不是 Have I Been Pwned 或全網撞庫。這些承諾管的是「密碼有沒有進 UsePwd 的請求」。它們管不到 Windows 有沒有把同一串字寫進 Win+V。兩件事可以同時成立：網路面板是乾淨的，剪貼簿歷程裡仍是明文。