图片死活传不上去：事件是有出身的

周日晚上十点，阿杰的公众号自动化就差最后一步：封面图自动上传。

他翻遍了媒体库页面，连一个 input[type=file] 都没找到。整个上传区就是一块虚线框，上面一行小字：把图片拖到这里。

阿杰不慌。cda 有 upload_dragdrop，专门收拾这种只认拖拽的组件——派发 dragenter、dragover、drop，把文件塞进 dataTransfer，页面自己的 drop 处理器接手上传。他上周刚用过，一次成功。

这次他敲了命令，返回 success。页面上那个虚线框闪了一下，进度条跳出来又缩回去。

然后，没了。

图没上去。

阿杰盯着屏幕看了十秒，重跑。虚线框再闪一下，进度条再跳一次，图还是没上去。第三遍的时候他已经在 console 里埋好了日志——drop 处理器明明执行了，文件也在 dataTransfer.files 里躺着，可页面的上传逻辑就是装死。

他顺着断点往里翻，最后停在一行判断上：

if (!event.isTrusted) return;

event.isTrusted: false。

阿杰瞬间不困了，但也更糊涂了：事件是他发的，处理器也跑了，就差这一个布尔值，卡死了整个流程。

第二天早上，老陈端着咖啡路过，看见阿杰的黑眼圈，瞥了一眼屏幕上的断点。

「你在跟浏览器的信任体系较劲。」老陈说，「事件是有出身的。人手拖出来的，isTrusted 是 true，浏览器盖章认证；代码 dispatchEvent 合成的，永远是 false——不管你模拟得多像。」

「那我模拟得再像也没用？」

「没用。isTrusted 是只读属性，脚本改不了，这是浏览器的防伪设计。微信媒体库这类组件就查户口：你的 drop 处理器跑得再欢，出身不对，不收货。」老陈拉开椅子坐下，「这叫反自动化校验，拦的就是你这种脚本。」

「那怎么办，我雇个人肉拖图？」

「让浏览器替你拖。」老陈放下咖啡，「cda 前两天升到 v0.26.0，upload_dragdrop 加了 trusted 模式。它不走 dispatchEvent，走 CDP——浏览器调试协议。你等于站到浏览器里面去下指令：Chrome 自己读盘，构造一个真实的 File，用浏览器级输入完成整个拖放。」

「isTrusted 呢？」

「浏览器自己动手，章自然是真的。」

阿杰半信半疑，改了命令。之前是这么写的：

# 合成拖放：派发 dragenter/dragover/drop，处理器会跑，但 isTrusted=false
upload_dragdrop current '{"selector":".upload-area","data":{"base64":"<b64>","filename":"cover.jpg","mime":"image/jpeg"}}'

现在只改了两处——加 trusted: true，data 从 base64 换成本机路径：

# 真实拖放（v0.26.0）：浏览器读盘构造真实 File，isTrusted=true
upload_dragdrop current '{"selector":".upload-area","trusted":true,"data":{"path":"/Users/jay/Pictures/cover.jpg"}}'

回车。返回里多了一个字段：

{
   
  "success": true,
  "data": {
   
    "selector": ".upload-area",
    "filename": "cover.jpg",
    "x": 642,
    "y": 318,
    "trusted": true,
    "settledMs": 806
  }
}

trusted: true。

这一次，媒体库的缩略图安安静静地出现了。没有闪动，没有抗议，就像有人亲手拖进去的一样。

阿杰靠在椅背上，把这次升级跟之前的方案摆在一起，发现了几个「不一样」：

1. 出身变了，不是演技变了。 合成事件是「让页面以为有人拖」，trusted 拖放是「让浏览器替你拖」。isTrusted=true 是浏览器亲手盖的章，脚本伪造不出来——但可以请浏览器自己盖。
2. 文件是真的。 dataTransfer.files 里是真 File，大小、类型、内容都对，任何一层校验都挑不出毛病。
3. 细节也顺手补了。 旧的合成路径加了 dragleave 收尾，拖完不再留下「亮灯」残留——就是那种高亮框悬在页面上死活不消失的尴尬。
4. 上传三件套凑齐了。 找得到 input[type=file] 用 upload_file；只有拖拽区用 upload_dragdrop 合成路径；查出身的组件上 trusted: true。三种武器，对应三级防御。
5. 前提只有一条。 文件得在跑 Chrome 的那台机器上——毕竟是 Chrome 自己读盘。

阿杰忽然想明白一件事：以前他以为自动化是把人的动作「翻译」给页面，一层事件一层事件地模仿。现在才明白，最高效的路是让浏览器自己动手——它本来就是执行者，何必隔着一层合成事件去冒充人。

老陈喝完最后一口咖啡，站起来留下一句话：

「反自动化的本质是信任问题。你伪造不了浏览器的章，但可以让浏览器亲手盖章。」

cda 的 README 里有 upload_dragdrop 的完整参数表：合成路径（base64 / URL 拉取）和真实拖放（trusted + 本机路径）三种写法都在。下一个卡住你自动化的上传组件，可能就差一个 trusted: true。