把刚复制的密码留在系统剪贴板，云同步和历史记录还可能留下什么

复制不是「只在当前窗口转一手」，是再留一份明文

很多人把剪贴板当成手和输入框之间的空气：复制、粘贴、忘掉。实际发生的事情更具体。浏览器或 App 调用系统接口，把这段文本写进操作系统的剪贴板；之后任何获准读这块缓冲区的程序，都可能在你还没点「粘贴」之前就看到它。MDN 对 Clipboard API 的定义很直白：系统剪贴板是托管浏览器的操作系统上的数据缓冲，用于短时存储，以及在文档或应用程序之间传数据；它通常实现成匿名的临时缓冲区，环境里的多数程序都能通过规定接口访问。

登录口令、一次性验证码、API 密钥、数据库连接串、SSH 私钥片段，都属于不该以明文在「当前窗口以外」多留几份的内容。上一篇写过：未加密文件丢进网盘，服务商、同步客户端和秒传还可能看到原文。复制密码是同一类暴露，只是接收方从「存储服务商」换成了「本机剪贴板、剪贴板历史、云同步和附近那台已登录的设备」。要处理的不是「这个操作系统聪不聪明」，而是「这一次复制有没有把不该离开当前输入框的明文，交给下一块缓冲区」。

本文以 Microsoft 对 Windows 剪贴板的说明、Microsoft Graph 对云剪贴板对象的字段、Apple 对通用剪贴板和接力安全的说明为主，因为分层写得清楚，也好核对。第三方剪贴板历史工具、远程桌面和浏览器扩展会再叠一层，产品页很少写成同样直白的句子。换环境时应对着那一台机器的设置再走一遍，不要把下面的 Win+V 或「通用剪贴板」直接套到另一家同步软件上。

本机单槽、本机历史、云同步：三层不是同一层

把「剪贴板安不安全」听成一个是或否，会漏掉至少三层。第一层是本机当前槽。你刚复制的那一条覆盖上一条，系统默认只记住最新一份。关掉当前网页标签，清不掉这一层：缓冲区在操作系统里，不在那个标签页的内存里。

第二层是本机历史。Windows 把这一层做成可开关的功能：使用剪贴板 写明，按 Windows 徽标键 + V 首次打开并启用后，可以从历史里粘贴多个项目，也可以把常用项固定下来。历史不是「还在空气里」，而是一份可回翻的列表。

第三层是跨设备同步。Microsoft 自己的措辞是「将剪贴板历史记录同步到云」。同步绑定到 Microsoft 账户或工作账户，要在各台设备上用同一套登录。Apple 走另一条路：不把通用剪贴板写成「上传到 iCloud 网盘再下载」，而是用接力在附近设备之间传剪贴板内容。两家都加密传输，但信任模型都是「同一账户下的设备彼此可信」。账户里多一台忘了退出的电脑，就多一个能读到这次复制的终点。

Windows：Win+V、25 条、钉选和上传到云

Microsoft 把数字写进了支持页。剪贴板历史最多 25 条复制记录；较旧的项目除非被固定，否则会被新项目挤掉。单条不超过 4 MB，支持文本、HTML 和位图。第一次要用，按 Windows 徽标键 + V，再点「打开」。这 25 条是本机历史，还不是云。

重启会清掉未固定的历史。支持页写明：每次重启电脑，剪贴板历史都会清除，已固定的项目除外。把密码「钉」在 Win+V 面板里，等于主动要求系统在重启后继续记住这串明文。设置里的「清除剪贴板数据」更宽：可以清掉设备和云上除固定项之外的全部内容。只关浏览器、只清当前槽，清不掉已固定的那一条，也清不掉已经同步出去的副本。

跨设备同步是另一道开关。路径是「设置 → 系统 → 剪贴板」，打开「跨设备的剪贴板历史记录」，再选「自动同步我复制的文本」。选自动时，你复制的文本会被上传到云并同步到其他设备。若改成「手动同步我复制的文本」，必须打开 Win+V，再对某一条点同步按钮，「然后，文本将上传到云并同步到其他设备」——这是 Microsoft 自己的句子，不是推断。同步绑定 Microsoft 账户或工作账户；换一台电脑用同一账号登录，就能成为接收端。

云端会留多久，支持页没有写成「恰好一小时」或「永久」。可以核对的是 Microsoft Graph 对 cloudClipboardItem 的字段：expirationDateTime 由服务器设置，对象过期后不再可用；「默认也是最大的 TTL 是创建之后 12 小时，但可能因性能优化而改变」。同一页还写明：云剪贴板目前支持在 Windows 设备之间，以及 Android 上的 SwiftKey 之间使用。12 小时是接口层的上限说明，不是「界面上每条都刚好显示 12 小时」的保证；把它当成「上传之后，云端对象可以存活到这个量级」，不要当成永久保险柜，也不要当成瞬间蒸发。

Apple：通用剪贴板把明文交给附近那几台设备

Apple 把功能名写成「通用剪贴板」。官方说明 列出的条件是：各设备彼此靠近；使用同一 Apple 账户登录；打开蓝牙和无线局域网；打开「接力」（默认是开的）。Mac 帮助页把距离写成 10 米（30 英尺）。拷贝之后，「该内容将自动添加到附近其他设备上的剪贴板中。内容会在那里保留片刻，或者直到你在任一设备上拷贝其他内容而被取代。」Apple 没有把「片刻」写成精确秒数，核对时不要自行补成两分钟或十秒；能当场验证的是：对面那台已登录的 iPhone 能不能立刻粘出刚才那串字符。

传输不是「明文广播给房间里所有人」。接力安全性 写明：第二台能用接力的设备登录 iCloud 后，两台设备会通过 APNs 在带外建立蓝牙低功耗 4.2 配对；配对后每台设备生成一把 256 位 AES 对称密钥，存在钥匙串里，用 AES-256-GCM 加密并认证 BLE 广播，带重放保护。较大负载会再走类似隔空投送的点对点无线局域网，连接用 TLS，信任来自 iCloud 钥匙串共享的身份。通用剪贴板「利用接力在设备间安全传输剪贴板的内容」；内容与其他接力数据用同样方式保护，并且默认共享，除非 App 开发者选择不允许共享。

加密挡的是路上的窃听，挡不住信任边界里的设备。Apple 同一节写得更重：「不论用户是否已将剪贴板粘贴到 App 中，App 都可以访问剪贴板数据。通过通用剪贴板，此类数据访问会扩展到用户其他设备上的 App（在 iCloud 登录时建立）。」家里那台用同一 Apple 账户登录、接力开着的 iPad，不只是「你可以在那儿粘贴」，也包括「那台设备上的 App 在你还没粘贴时，就可能读到这块剪贴板」。和家人共用一个 Apple 账户，等于把这次复制的明文信任范围扩到对方口袋里的手机。

密码管理器清剪贴板，清不掉已经同步出去的副本

密码管理器知道复制很危险，所以会倒计时清空。1Password 的支持页写明：为了安全，会自动从剪贴板移除已复制的密码；要关掉这项，去设置 → 安全性，关闭「在 90 秒后移除已复制的信息和验证码」。iOS / iPadOS 上还有另一道开关：打开「使用通用剪贴板拷贝到其他设备」，才允许从 1Password 拷出的内容出现在附近的 Apple 设备上。默认并不是「拷了就自动送到手机」；一旦你打开这道开关，通用剪贴板的规则重新生效。

Bitwarden 浏览器扩展把间隔做成下拉菜单。官方说明写：在「Clear clipboard」里选择希望已复制的保险库内容保留多久，「默认是五分钟」。倒计时清的是当前浏览器所在这台设备上的系统剪贴板。它不会去登你的 Microsoft 账户删云端对象，也不会去对面那台 iPhone 上执行一次「拷贝别的东西」。Windows 若已自动同步，或通用剪贴板已经把内容写进附近设备，90 秒或 300 秒之后本机槽空了，那些副本仍按各自的规则活着。

网页里的「复制」按钮通常连这 90 秒都没有。MakePwd 的密码生成器用 navigator.clipboard.writeText 把字符串交给系统剪贴板，成功后只提示「已复制到剪贴板」，不会替你倒计时清空，也不会关闭你的 Win+V 历史或接力。这不是疏忽成「上传了密码」，而是边界在浏览器这一侧：生成发生在本机，复制一旦成功，后面就是操作系统的事。把「网站说本地生成」听成「复制之后全世界都看不见」，会漏掉这一跳。

别的 App、扩展和网页还能读到什么

剪贴板不是只给「你准备粘贴的那个输入框」用的。前面引过 Apple 的句子：即使用户还没粘贴，App 也可以访问剪贴板；通用剪贴板把这种访问扩到其他设备。Windows 侧没有写成同一句，但本机历史一旦打开，Win+V 面板里就能看见最近 25 条明文——肩窥、共享屏幕、远程协助窗口，看到的是列表，不是「已经粘进密码框、马上被掩盖」的那一个点。

网页要读剪贴板，走的是 Clipboard API。MDN 写明：在安全上下文中，程序化读写要满足规范里的安全考虑。读的时候，规范要求近期有过用户激活，并且这次调用来自浏览器或操作系统的「粘贴元素」（例如原生菜单里的粘贴）。实际浏览器常放宽或改口：Chromium 在文档有焦点时，可能弹出 clipboard-read 权限请求；Firefox 与 Safari 则可能弹出一次性的粘贴菜单。写通常也要瞬时激活或 clipboard-write 权限。结论不是「所有网页都能静默读走密码」，而是「读剪贴板是一条有文档、有权限提示的正规接口」，不要假设只有你点的那个输入框才碰得到这串字符。

浏览器扩展是另一条通道。Firefox 文档写明：带 clipboardRead 权限的扩展读剪贴板时，可以不要瞬时激活，也不走粘贴提示。装了「剪贴板历史」「跨设备同步」「效率启动器」一类扩展之后，系统的单槽会被扩成可搜索的列表，有的还会同步到扩展自己的账号。远程桌面、虚拟机工具和「两端共用剪贴板」的开关，等于再加一台接收设备。这些都不在 Microsoft 或 Apple 那两页支持文档的数字里，但核对方法一样：用金丝雀复制一次，看哪些窗口、哪台机器能粘出来。

当场核对：金丝雀出现在 Win+V，还是对面那台手机

口号写「我只复制了一次」没法证明。把核对拆成可以在本机做完的几步，每一步只回答一个问题。

1. 写一段不会出现在真实业务里的金丝雀，例如 canary-clip-20260903-only-once。不要用正在用的密码。需要一串随机字符时，用密码生成器抽 6–128 位（默认 16；低于 8 位会提示较弱），把生成结果当成金丝雀，而不是当成新的登录口令。
2. 在 Windows 上按 Win+V。若尚未打开历史，先按支持页打开。复制金丝雀，再按 Win+V：列表里应出现原文。打开「设置 → 系统 → 剪贴板」，看「跨设备的剪贴板历史记录」是开还是关，自动同步还是手动同步。若是自动，到另一台已登录同一 Microsoft 账户的 Windows（或文档写明的 SwiftKey）上看能否粘出同一串。
3. 在 Mac / iPhone 上，确认两台设备登录同一 Apple 账户，蓝牙、无线局域网和接力都开着，距离在 10 米内。一边拷贝金丝雀，另一边直接粘贴。能粘出来，就说明通用剪贴板把明文写进了对面那台设备的当前槽。再在任一端拷贝一句无关的话，例如 overwrite-now，看对面是否被取代。
4. 若你用 1Password 或 Bitwarden 复制金丝雀，看倒计时结束后本机槽是否已空（再粘一次应不是金丝雀）。然后重复第 2、3 步：云端或附近设备上的副本，不随本机倒计时一起消失。1Password 若打开了「使用通用剪贴板拷贝到其他设备」，第 3 步应能复现。
5. 核对结束后，在 Windows 设置里点「清除剪贴板数据」，或在 Win+V 里全部清除；Apple 侧再拷贝一段无意义文本覆盖当前槽。不要把金丝雀留在钉选列表里。

第一段核对的细节——本机有没有把明文交给操作系统——和浏览器里做加密，怎么当场核对明文没有离开本机不同：这里几乎一定会离开浏览器，因为复制的定义就是写入系统剪贴板。本文要核对的是「离开浏览器之后，还进了哪几层」。金丝雀只应出现在你主动打开的 Win+V、你自己的对面设备，以及你允许同步的那几台机器上。出现在你以为没登录的旧电脑、家人的 iPad，或剪贴板历史扩展的搜索框里，说明信任边界比「当前窗口」大。

用打开即用的密码生成器，把「复制」当成一次暴露

若你要的是「先在本机生成，再自己决定要不要写入剪贴板」，不必先注册，也不必把口令交给 MakePwd。打开密码生成器，抽一串可丢弃的随机字符，点复制，按上一节搜 Win+V 或对面的手机。生成和强度提示都在当前标签页完成；待测或新生成的密码默认不上传。全部工具打开即用，没有账号，也没有密码库替你保管这串字符。

生成器回答的是「这一串从哪来」，不回答「复制之后操作系统会不会同步」。需要把口令交给另一个人时，不要依赖「我复制了，再在微信里粘一次」——聊天记录是另一份副本，上一篇写密钥贴进模型会话时已经拆过类似的留存。更合适的是用阅后即焚另发一次：密钥放在 URL 的 # 片段，不随 HTTP 发给服务器；创建与阅读都公开，服务端只暂存密文。只想确认自己常用的口令弱不弱、有没有落进本地高频名单，用密码检测，待测密码同样不上传。

常见问题

复制一次密码，会不会马上同步到别的设备？

取决于你开了哪一层。Windows 要先打开剪贴板历史，再打开「跨设备的剪贴板历史记录」并选择自动同步，文本才会上传到云。Apple 通用剪贴板要求同一 Apple 账户、打开蓝牙、无线局域网和接力，且设备彼此靠近；内容会自动出现在附近设备的剪贴板，保留片刻或直到被下一次拷贝取代。

密码管理器说 90 秒或 5 分钟后清空剪贴板，还安全吗？

它清的是当前这台设备上的系统剪贴板槽。1Password 写明默认 90 秒移除已复制信息；Bitwarden 浏览器扩展的「Clear clipboard」默认五分钟。若 Windows 已自动同步，或通用剪贴板已经把内容交给附近另一台设备，本机倒计时结束不等于那些副本一起消失。

关掉标签页或重启电脑，剪贴板里的密码还在吗？

关掉浏览器标签清不掉操作系统剪贴板。Windows 写明：每次重启会清除剪贴板历史，但已固定的项目除外；设置里的「清除」会清设备和云上除固定项之外的内容。Apple 侧没有内建多条历史，但通用剪贴板仍可能在附近设备上留片刻。第三方剪贴板历史工具若已落盘，重启也带不走。

网页或扩展能直接读走我刚复制的密码吗？

有可能，但通常要过权限或粘贴提示。MDN 把系统剪贴板写成操作系统上的数据缓冲，多数程序都能经接口访问。网页用 Clipboard API 读文本时，规范要求安全上下文，浏览器还会加权限或一次性粘贴菜单。Apple 安全指南写得更直：即使用户还没把剪贴板粘进某个 App，App 也可以访问；开了通用剪贴板，这种访问会扩到同一 iCloud 登录下的其他设备。

下次复制前记住的三件事

第一，「已复制」只说明字符串进了操作系统剪贴板，不说明它只存在于当前输入框。第二，Windows 的 25 条历史、钉选、跨设备上传（云对象默认最长 12 小时）和 Apple 的通用剪贴板（10 米内、片刻或被覆盖）是三套不同的副本；密码管理器的 90 秒或 5 分钟只清本机槽。第三，用一次性金丝雀按 Win+V、对面设备和同步开关核对，不要用真实口令做实验；核对完就覆盖或清除。

若你还要继续追问「生成过程有没有把明文当业务数据送走」，请读浏览器里做加密，怎么当场核对明文没有离开本机。已经把密钥粘进模型会话之后还可能剩什么，见把密码或 API 密钥贴进 ChatGPT，这次会话和训练侧还可能留下什么。必须把打开密文的口令交给人时，可读URL 的井号后面为什么适合放密钥。本文只把「复制之后系统剪贴板、云同步和历史记录还可能剩什么」收成可以写进结论的范围。