去年给一个内部管理系统做登录页改版产品提了个需求密码框右边加一个小眼睛点一下能看到明文再点一下恢复星号。我第一反应是这还不简单PasswordBox改个模板就行。真正动手才发现WPF的PasswordBox在水面下埋了不少雷。折腾一圈下来我最后没用PasswordBox反而用TextBox把整套密码输入交互重造了一遍。这篇博文就把这段改造过程完整拆开讲从需求分析、方案选型到核心同步算法、完整实现代码再到我实际踩过的坑一次说清楚。1. 先把需求看清楚为什么放着现成的PasswordBox不用很多人看到“模仿PasswordBox”的第一反应是直接给PasswordBox加个切换按钮不就行了理论上是这样但实际操作起来你会发现密码输入框这个看似基础的功能牵涉到的细节远比想象中多。1.1 一个看似简单却磨人的UI需求登录框、修改密码弹窗、支付确认对话框这些场景都需要密码输入。产品经理提的需求往往就一句话“密码框旁边加个眼睛可以切换显示。”但这句话背后有三个没说出来的约束第一密码框的样式必须和系统整体UI风格统一。PasswordBox自带的默认样式通常是一个普通的Border包着TextBox做圆角、自定义背景、加个前缀图标时改模板是绕不开的工作。第二MVVM模式下ViewModel里需要拿到密码值去提交登录或修改请求。你不想为了一个密码框写一堆code-behind事件然后再用CommandParameter把PasswordBox实例传进去那样既难看又不好测。第三密码框不只是“输入密码”那么简单。它要处理复制粘贴、输入法、光标位置、选中删除、安全审计等一堆边界情况。任何一个环节没处理好轻则体验奇怪重则直接出安全事故。我用PasswordBox试过一轮发现它的问题比预想中更棘手于是才转向用TextBox做底层承载重新实现一遍密码输入逻辑。1.2 PasswordBox的三大硬伤PasswordBox最被人诟病的就是它的Password属性不在依赖属性体系里。没有依赖属性就意味着不能直接做数据绑定不能通过Style的Setter设置也不能在绑定错误时从绑定系统拿到任何反馈。你想在ViewModel里写Password 123456然后让界面自动刷新这是做不到的。官方这么设计是有安全考虑的密码不应该以纯文本形式出现在内存里到处传播更不能被日志、序列化器、调试器随手捞走。但实际做业务系统时这个设计反而逼着开发者在“安全”和“易用”之间做取舍。最常见的妥协方案是给PasswordBox挂一个附加属性监听PasswordChanged事件把值同步到ViewModel的string属性里。这套路大家都懂我在第4章会详细讲。第二个硬伤是模板结构。PasswordBox内部集成了一整套字符替换逻辑你想在右边加一个小眼睛按钮要么重写ControlTemplate要么用装饰层叠上去。重写模板并不难难的是密码明文/掩码切换。你要么把PasswordChar动态设成空字符串或星号要么在明文框和密码框之间做视觉切换。前者会丢失光标位置后者要处理两个控件的焦点同步。试过就知道每个方案都在补窟窿。第三个硬伤和输入法、剪贴板有关。PasswordBox默认情况下对中文输入法的支持并不好候选框经常出现在奇怪的位置。这其实是底层TextBox编辑机制的限制不用TextBox彻底重写的话很难在细节上完全掌控。1.3 三条实现路径的对比我把当时能想到的方案列了一张表挨个对比了一遍。方案实现方式优点缺点适用场景附加属性扩展PasswordBox给PasswordBox挂BindablePassword附加属性同步到VM改动最小保留了PasswordBox原生交互无法灵活控制掩码和明文的切换细节样式改造仍然受限只解决绑定问题不需要多功能继承PasswordBox并重写模板保留原生逻辑模板中加入切换按钮能复用原生字符替换和光标逻辑模板触发器写起来别扭状态切换涉及内部逻辑黑盒问题多需求较简单且能接受模板内做手脚TextBox组合自绘控件用TextBox承载文本外层用ToggleButton控制明文/掩码自己做同步算法完全可控样式、交互、扩展性都好需要自己实现文本同步、光标保持、输入法兼容等逻辑MVVM绑定、样式统一、可复用组件库我最后选了第三条。原因很直接我需要的不只是一个“能绑定密码的PasswordBox”而是一个“能响应绑定、能切换明文、能自定义样式、能塞进团队组件库”的密码输入控件。只有自己掌控底层逻辑才能把那些细碎的交互问题逐个解决掉。2. 核心设计明文、掩码、光标三者如何同步实现密码输入框最难的部分不是界面而是数据同步。界面上只有一个TextBox但它有两种表现形态。用户输入时你需要知道用户到底改了哪个位置然后把改动同步到明文缓存里最后再把界面重新刷成掩码串。这一步做不好就会出现密码错乱、丢字、多字。2.1 数据流两种显示状态下明文和掩码的关系我给这个控件定了两个状态隐藏状态TextBox显示的是掩码字符串比如“●●●●●●”。真实密码存放在一个私有字符串字段_plainText中。可见状态TextBox直接显示明文_plainText和TextBox.Text完全一致。切换状态时不需要重建控件只需要把TextBox.Text替换成对应形态同时恢复光标位置。为了让逻辑统一我给这个控件设定了一条核心规则掩码串长度永远等于明文长度。也就是说每个字符对应一个掩码字符无论明文里是中文、标点还是数字。这条规则看似简单却是整个同步算法能成立的基础。有了它光标在掩码串里的位置就等价于同一个位置在明文里的字符索引。用户把光标移到第3个掩码字符后面那对应的就是明文里第3个字符后面。2.2 增量同步算法通过新旧掩码串差异反推编辑操作当TextBox处于隐藏状态时用户输入的真实字符会短暂地“混”在掩码串里出现。比如原明文是“abc”显示为“●●●”此时用户把光标移到第2个字符后输入“x”界面瞬间会变成“●●x●”。这一瞬间的混合文本不真实、也不安全但在用户下一次击键前我们需要抓住这个机会把这个编辑意图转译成对明文数组的增删操作然后把界面重新刷成“●●●●”。实现这个转译的核心是一个比较新旧两个字符串差异的函数。我把它定义成“增量同步算法”。它的输入有三个上一次同步后的掩码串oldMasked、当前TextBox内的文本newText、以及本次编辑过程中涉及的选中区域信息。输出是一个明确的编辑操作插入、删除、还是替换。基本思路是从字符串两端分别找差异边界。第一步从前往后扫描找到第一处不一样的字符位置start。第二步从后往前扫描找到最后一处不一样的字符位置endOld和endNew。第三步根据区间长度判断操作类型如果newText.Length oldMasked.Length说明用户做了插入操作。新文本区间里的非掩码字符就是要插入的明文。插入位置就是start。如果newText.Length oldMasked.Length说明用户做了删除操作。删除范围就是明文里从start开始长度等于删除数量的那一段。如果长度一样但内容不同说明用户选中了一段文本后做了替换。操作是先删除选中区域对应的明文再插入新文本区间里的非掩码字符。写成代码就是下面这样private void SyncPlainText(string oldMasked, string newText) { if (string.IsNullOrEmpty(oldMasked) string.IsNullOrEmpty(newText)) { return; } if (oldMasked newText) { return; } int start 0; int minLen Math.Min(oldMasked.Length, newText.Length); while (start minLen oldMasked[start] newText[start]) { start; } int endOld oldMasked.Length - 1; int endNew newText.Length - 1; while (endOld start endNew start oldMasked[endOld] newText[endNew]) { endOld--; endNew--; } int oldLength endOld - start 1; int newLength endNew - start 1; // 提取新文本区间内的有效明文跳过掩码字符 string insertedText ExtractVisibleText(newText.Substring(start, newLength)); if (newLength oldLength) { // 纯插入 _plainText _plainText.Substring(0, start) insertedText _plainText.Substring(start); } else if (newLength oldLength) { int deleteCount oldLength - newLength; string before _plainText.Substring(0, start); string after _plainText.Substring(start deleteCount); _plainText before insertedText after; } else { // 等长替换 string before _plainText.Substring(0, start); string after _plainText.Substring(start newLength); _plainText before insertedText after; } } private string ExtractVisibleText(string segment) { var builder new StringBuilder(); foreach (char c in segment) { if (c ! MaskChar) { builder.Append(c); } } return builder.ToString(); }这里有个关键点ExtractVisibleText会把新文本区间里所有非掩码字符提取出来作为用户本次输入的真实内容。因为掩码串的每个字符都对应明文里一个字符而用户在隐藏模式下输入“x”时TextBox的无声替换逻辑并没有真正执行所以界面会在那一瞬间露出明文“x”正好被我们捕获。2.3 为什么必须拦截剪贴板操作如果不管剪贴板用户粘贴一大段内容进来时逐字符diff会非常吃力而且掩码字符串和明文之间会彻底错位。比如原明文“abc”用户全选后粘贴“hello”TextBox瞬间变成“hello”。我们拿“●●●”和“hello”做diffstart是0新文本区间是“hello”提取出来就是“hello”倒也能正确同步。但问题在于粘贴时用户往往上面还覆盖着掩码字符比如把“pss”粘贴到“●●●●●●”中间画面会变成“●●pss●●”非掩码字符的分布位置已经和光标脱节这时靠diff很难正确还原用户意图。更严重的是右键菜单。Windows下TextBox默认自带一套上下文菜单里面包含“复制”“剪切”“粘贴”。隐藏状态下用户选中一段掩码再点“复制”复制到剪贴板的就是掩码字符串这倒没什么。但如果用户在可见状态下复制明文又切回隐藏状态粘贴坑就来了。我的做法是双管齐下。第一隐藏状态下彻底禁用剪贴板的写入和读取重写TextBox的ContextMenu只保留一个“剪切”项或直接清空菜单。第二通过ApplicationCommands拦截Paste命令在进入默认粘贴逻辑之前自己从Clipboard拿到文本按当前光标位置插入到_plainText然后应用掩码显示。private void OnInnerTextBoxPreviewExecuted(object sender, ExecutedRoutedEventArgs e) { if (e.Command ApplicationCommands.Paste || e.Command ApplicationCommands.Cut) { if (_isPasswordVisible) { return; } if (e.Command ApplicationCommands.Paste) { string clipText Clipboard.GetText(); InsertPlainTextAtCaret(clipText); } e.Handled true; } if (e.Command ApplicationCommands.Copy !_isPasswordVisible) { e.Handled true; return; } } private void InsertPlainTextAtCaret(string text) { int caretIndex _innerTextBox.CaretIndex; _plainText _plainText.Substring(0, caretIndex) text _plainText.Substring(caretIndex); ApplyMask(caretIndex text.Length); }这样无论是快捷键CtrlV还是右键菜单粘贴都会走同一条受控的插入逻辑。2.4 光标位置与输入法状态的保护掩码串和明文长度相等所以正常情况下光标可以直接复用。但有一个例外用户在隐藏状态下手动点了一下中间位置光标落在某个掩码字符后面。这时候如果直接复用没有问题因为位置本身定义的就是“第N个字符后面”。真正需要特别处理的是TextBox在重新赋值Text时会条件性重置光标。如果不显式设置CaretIndex它默认会跳到0或者末尾用户会看到光标瞬间飞到开头非常出戏。我封装了一个ApplyMask方法统一负责“按当前状态刷新TextBox文本并恢复光标”private void ApplyMask(int caretIndex -1) { _suppressTextChanged true; if (caretIndex 0) { caretIndex _innerTextBox.CaretIndex; } if (_isPasswordVisible) { string maskedText new string(MaskChar, _plainText.Length); if (_innerTextBox.Text ! maskedText) { _innerTextBox.Text maskedText; } caretIndex Math.Min(caretIndex, maskedText.Length); } else { if (_innerTextBox.Text ! _plainText) { _innerTextBox.Text _plainText; } caretIndex Math.Min(caretIndex, _plainText.Length); } _innerTextBox.CaretIndex caretIndex; _lastMaskedText _innerTextBox.Text; _suppressTextChanged false; }输入法状态这块比较敏感。中文输入法在掩码模式下会弹出候选词窗口位置往往在TextBox下方或光标附近和用户预期不符。更麻烦的是用户输入拼音字母时TextBox里的内容会先变成拼音串再在确认后变成中文。这个过程会连续触发TextChanged如果diff算法每次都把它当成一次插入操作明文就会出现拼音残留的乱码。我的处理方案是隐藏状态下强制输入框不接受IME组合输入通过设置InputMethod.IsInputMethodEnabledFalse或者_innerTextBox.InputMethod.IsInputMethodEnabled false关闭中文输入法让密码框只能输入英文、数字和符号。密码场景下这个限制通常可以接受毕竟大多数系统的密码都不允许中文。可见状态下则放开限制用户想输中文就输中文虽然一般不这么干。关闭输入法还有一个好处就是避免用户在密码框里打出中文导致后端校验失败属于提前规避问题。3. 从零实现一个可复用的PasswordTextBox讲完了同步算法的设计思路接下来进入正题怎么把它变成一个真正能用的WPF控件。我会从依赖属性、模板结构、核心事件三个部分依次展开。3.1 控件骨架依赖属性设计回顾自定义控件的核心先是依赖属性。我设计了三个公开属性Password用于双向绑定IsPasswordVisible用于控制当前显示状态MaskChar用于自定义掩码字符。public class PasswordTextBox : Control { private TextBox _innerTextBox; private bool _suppressTextChanged; private string _plainText string.Empty; private string _lastMaskedText string.Empty; public static readonly DependencyProperty PasswordProperty DependencyProperty.Register( nameof(Password), typeof(string), typeof(PasswordTextBox), new FrameworkPropertyMetadata( string.Empty, FrameworkPropertyMetadataOptions.BindsTwoWayByDefault, OnPasswordChanged)); public static readonly DependencyProperty IsPasswordVisibleProperty DependencyProperty.Register( nameof(IsPasswordVisible), typeof(bool), typeof(PasswordTextBox), new PropertyMetadata(true, OnIsPasswordVisibleChanged)); public static readonly DependencyProperty MaskCharProperty DependencyProperty.Register( nameof(MaskChar), typeof(char), typeof(PasswordTextBox), new PropertyMetadata(●, OnMaskCharChanged)); public string Password { get { return (string)GetValue(PasswordProperty); } set { SetValue(PasswordProperty, value); } } public bool IsPasswordVisible { get { return (bool)GetValue(IsPasswordVisibleProperty); } set { SetValue(IsPasswordVisibleProperty, value); } } public char MaskChar { get { return (char)GetValue(MaskCharProperty); } set { SetValue(MaskCharProperty, value); } } }PasswordProperty设置成BindsTwoWayByDefault这样在XAML里写{Binding PathLoginPassword}时不需要再手动加ModeTwoWay。OnPasswordChanged回调负责处理外部给控件赋值的场景比如清空密码、回显修改密码页的初始值。private static void OnPasswordChanged(DependencyObject d, DependencyPropertyChangedEventArgs e) { var control (PasswordTextBox)d; string newValue e.NewValue as string ?? string.Empty; if (control._suppressTextChanged) { return; } control._plainText newValue; control.ApplyMask(0); }注意这里有个关键操作当外部ViewModel把Password更新成一串新值时控件会直接用这串新值覆盖_plainText然后刷新界面。同时设置光标为0避免在重建文本时触发光标闪烁。3.2 模板结构TextBox加ToggleButtonPasswordTextBox本身不画界面它依靠ControlTemplate把内部结构组装出来。模板的核心是两个部分一个承载文本输入的TextBox一个控制明文/掩码切换的ToggleButton。Style TargetType{x:Type controls:PasswordTextBox} Setter PropertyBorderBrush Value#C9CBD6/ Setter PropertyBorderThickness Value1/ Setter PropertyBackground ValueWhite/ Setter PropertyForeground Value#333333/ Setter PropertyPadding Value8,5/ Setter PropertyVerticalContentAlignment ValueCenter/ Setter PropertyTemplate Setter.Value ControlTemplate TargetType{x:Type controls:PasswordTextBox} Border Background{TemplateBinding Background} BorderBrush{TemplateBinding BorderBrush} BorderThickness{TemplateBinding BorderThickness} CornerRadius4 SnapsToDevicePixelsTrue Grid Grid.ColumnDefinitions ColumnDefinition Width*/ ColumnDefinition WidthAuto/ /Grid.ColumnDefinitions TextBox x:NamePART_InnerTextBox Grid.Column0 Padding{TemplateBinding Padding} VerticalContentAlignment{TemplateBinding VerticalContentAlignment} BackgroundTransparent BorderThickness0 FontFamily{TemplateBinding FontFamily} FontSize{TemplateBinding FontSize} Foreground{TemplateBinding Foreground} IsTabStopTrue InputMethod.IsInputMethodEnabledFalse/ ToggleButton x:NamePART_ToggleButton Grid.Column1 Width28 Height24 Margin2,0,0,0 IsChecked{Binding RelativeSource{RelativeSource TemplatedParent}, PathIsPasswordVisible} Style{StaticResource EyeToggleButtonStyle}/ /Grid /Border ControlTemplate.Triggers Trigger PropertyIsMouseOver ValueTrue Setter PropertyBorderBrush Value#6B8AFD/ /Trigger Trigger PropertyIsKeyboardFocused ValueTrue Setter PropertyBorderBrush Value#5B7CFD/ /Trigger /ControlTemplate.Triggers /ControlTemplate /Setter.Value /Setter /Style这里有一个容易踩坑的地方IsChecked绑定的方向。我定义IsPasswordVisible true表示隐藏密码ToggleButton被选中时就保持隐藏点击取消选中时IsPasswordVisible变成falseTextBox展示明文。这是一个偏直觉的设计但要注意和外部交互时ViewModel读到的IsPasswordVisible含义应该叫“IsMasked”更准确命名的事后面再优化。眼睛按钮的样式里核心是两组Path。一组是眼睛的轮廓另一组是斜杠。斜杠在隐藏状态下显示在明文状态下隐藏。WPF里可以用Opacity和Visibility做切换动画代码段如下Style x:KeyEyeToggleButtonStyle TargetType{x:Type ToggleButton} Setter PropertyTemplate Setter.Value ControlTemplate TargetType{x:Type ToggleButton} Border x:NameBd BackgroundTransparent CornerRadius3 Grid Width20 Height20 HorizontalAlignmentCenter VerticalAlignmentCenter Path x:NameEyePath DataM1.5,7 C4,3 8,3 10,7 C8,11 4,11 1.5,7 M5.5,7 A2,2 0 1,0 9.5,7 A2,2 0 1,0 5.5,7 StrokeGray StrokeThickness1.2 FillTransparent/ Path x:NameSlashPath DataM2,2 L18,18 Stroke#FF5A5A StrokeThickness1.8 StrokeStartLineCapRound StrokeEndLineCapRound Opacity0/ /Grid /Border ControlTemplate.Triggers Trigger PropertyIsChecked ValueFalse Setter TargetNameSlashPath PropertyOpacity Value1/ /Trigger /ControlTemplate.Triggers /ControlTemplate /Setter.Value /Setter /Style注意我把眼睛的“可见”和“隐藏”语义反过来了ToggleButton默认IsCheckedtrue显示的是没有斜杠的眼睛表示“当前密码是隐藏的点击可显示”。取消选中后斜杠出现表示“当前密码可见点击可隐藏”。这种视觉隐喻在主流系统里比较常见。3.3 核心事件与同步逻辑代码在OnApplyTemplate里拿到模板中的控件引用挂事件public override void OnApplyTemplate() { base.OnApplyTemplate(); if (_innerTextBox ! null) { _innerTextBox.TextChanged - OnInnerTextBoxTextChanged; _innerTextBox.PreviewExecuted - OnInnerTextBoxPreviewExecuted; _innerTextBox.ContextMenu null; } _innerTextBox GetTemplateChild(PART_InnerTextBox) as TextBox; if (_innerTextBox ! null) { _innerTextBox.TextChanged OnInnerTextBoxTextChanged; _innerTextBox.PreviewExecuted OnInnerTextBoxPreviewExecuted; _innerTextBox.ContextMenu CreatePasswordContextMenu(); _plainText Password ?? string.Empty; ApplyMask(0); } }TextChanged是核心所有用户输入引起的文本变化都会汇聚到这里。我在事件处理函数里判断当前状态逻辑如下private void OnInnerTextBoxTextChanged(object sender, TextChangedEventArgs e) { if (_suppressTextChanged) { return; } if (_isPasswordVisible) { string newText _innerTextBox.Text; SyncPlainText(_lastMaskedText, newText); ApplyMask(_innerTextBox.CaretIndex); if (!_suppressTextChanged) { SetCurrentValue(PasswordProperty, _plainText); } } else { _plainText _innerTextBox.Text; _lastMaskedText _plainText; if (!_suppressTextChanged) { SetCurrentValue(PasswordProperty, _plainText); } } }这里用SetCurrentValue而不是直接给Password赋值是为了保证双向绑定还能正常工作。SetCurrentValue只修改当前值不改变绑定的源外部通过绑定的方式仍然可以持续更新。这个细节很容易被忽略如果写成Password _plainText在某些绑定模式下会破坏双向链路。IsPasswordVisible变化时也要刷新显示状态private static void OnIsPasswordVisibleChanged(DependencyObject d, DependencyPropertyChangedEventArgs e) { var control (PasswordTextBox)d; control.ApplyMask(control._innerTextBox.CaretIndex); }切到明文状态时ApplyMask直接把_plainText塞进TextBox切回隐藏状态时重新生成掩码串并保持光标。整个过程没有任何动画和闪烁因为_suppressTextChanged已经挡掉了递归触发。3.4 集成进MVVM的实际效果做完控件集成到页面里非常简单。ViewModel里只需要一个可绑定属性public class LoginViewModel : INotifyPropertyChanged { private string _password; public string Password { get { return _password; } set { _password value; OnPropertyChanged(); } } public bool CanLogin !string.IsNullOrEmpty(Password); public event PropertyChangedEventHandler PropertyChanged; private void OnPropertyChanged([CallerMemberName] string name null) { PropertyChanged?.Invoke(this, new PropertyChangedEventArgs(name)); } }XAML里这样引用controls:PasswordTextBox Width320 Height36 Margin0,20,0,0 Password{Binding Password, ModeTwoWay, UpdateSourceTriggerPropertyChanged} IsPasswordVisibleTrue/运行起来效果就是默认掩码显示点右侧眼睛图标后明文显示再次点击恢复掩码。用户输入、退格、删除、光标移动都和原生PasswordBox基本一致。唯一区别是这一切的逻辑都在我们自己控制的代码里不会再因为Password属性不能绑定而束手束脚。4. 实测中踩过的坑和排查实录任何自定义控件都不可能一次写到位。这套方案从第一版跑通到现在稳定使用中间踩了不少坑我把典型问题记录下来给后来人当参考。4.1 中文输入法乱码第一版没有关闭输入法。测试人员在修改密码页输入中文拼音时发现密码框里出现了一串拼音字母而且明文缓存里也混进了拼音。原因是IME组合过程中TextChanged事件会多次触发diff算法把中间态的拼音字母当作密码字符合并进了_plainText最终导致密码错误。解决方式就是模板里那行InputMethod.IsInputMethodEnabledFalse。这行代码设置了之后隐藏和明文状态下都无法使用中文输入法。密码本来就是字符集合测试影响不大。如果哪个产品经理坚持要支持中文密码那得换一套更复杂的IME状态机来处理组合输入成本很高。我建议不要试图支持中文密码输入除非需求方给出非常明确的理由。4.2 光标乱跳与递归更新第一次实现TextChanged时我在里面直接写Password _plainText结果在调试时发现程序进入了死循环。原因很简单Password属性变化触发OnPasswordChanged回调回调里又调用ApplyMaskApplyMask修改TextBox.TextTextChanged再次触发又去设置Password。两个方向的事件互相纠缠直到WPF的绑定机制把它拦截住才算完。解决方式是引入_suppressTextChanged标志位。所有程序主动修改TextBox.Text的地方都要先置位改完再复位。另外外部修改Password时OnPasswordChanged里也用_suppressTextChanged判断防止误把用户正在输入的中间态覆盖掉。还有一个坑是光标恢复时机。ApplyMask里重新设置TextBox.Text后CaretIndex会变成0。如果这时候再获取光标位置得到的就是0于是每次输入后光标都会跳到开头。必须在设置Text之前先保存CaretIndex设置完再恢复或者直接在参数里传入目标光标位置。我在代码里已经做了这个处理这里再强调一次。4.3 右键菜单泄露密码这个坑是我在做安全测试时发现的。默认情况下TextBox的右键菜单里有“复制”而且有一个更隐蔽的问题它会把选中文本以明文方式写入剪贴板。如果用户切到明文状态全选密码后不小心点到右键的“复制”密码就被复制到了剪贴板。剪贴板是所有程序都可以读的这等于把凭证暴露给整台机器上的其他进程。我的处理分两步一是把TextBox默认的ContextMenu替换成自定义菜单只保留空白区域并且不提供复制、剪切、粘贴功能二是在PreviewExecuted里拦截ApplicationCommands.Copy、Paste。命令绑定的事根本到不了默认执行阶段。private ContextMenu CreatePasswordContextMenu() { var menu new ContextMenu(); var clearItem new MenuItem { Header 清空 }; clearItem.Click (s, e) { _plainText string.Empty; ApplyMask(0); SetCurrentValue(PasswordProperty, string.Empty); }; menu.Items.Add(clearItem); return menu; }只留一个“清空”菜单项功能简单也不涉及剪贴板。4.4 被安全审计挑战的准备我自己把这个控件用在内部系统时安全团队提过一个质疑_plainText以string形式保存在内存里和直接用PasswordBox的SecureString相比安全性是不是下降了这个质疑是对的。string是不可变类型它一旦被创建就会留在内存里直到GC回收而且无法主动清除。明文密码以string形式存在意味着理论上进程内存转储、崩溃日志、甚至调试器都能看到它。这是所有业务系统的共性问题不只是这个控件的问题。如果你要处理的场景是银行App、支付系统这类有严格安全审计要求的我建议退回去用PasswordBox的扩展方案把Password属性通过附加属性同步出来至少底层还是SecureString。如果是一般的内部管理系统、中小站点的登录页这个方案完全够用因为你的后端接口本身也不是绝对安全的。有一点必须做登录请求完成后手动调用控件的清空方法把_plainText和Password都置空尽量缩短明文在内存里的生命周期。public void ClearPassword() { _plainText string.Empty; _lastMaskedText string.Empty; SetCurrentValue(PasswordProperty, string.Empty); ApplyMask(0); }4.5 常见问题速查表问题现象原因解决方案输入中文出现乱码拼音字母混进密码IME组合输入触发多次TextChanged隐藏输入法设置InputMethod.IsInputMethodEnabledFalse文本框进入死循环程序卡死TextChanged递归触发Password赋值与ApplyMask互相触发增加_suppressTextChanged标志位光标飞到开头每次输入后光标跳第0位设置Text后未恢复CaretIndex设置Text前保存光标赋值后恢复右键复制泄露明文剪贴板里出现密码默认ContextMenu包含复制替换ContextMenu并拦截Paste/Executed命令绑定失效VM里的密码不更新用Password属性赋值而不是SetCurrentValue使用SetCurrentValue保持绑定链路掩码串和明文长度不一致输入卡顿、删除错位某些复杂操作未通过同步算法确保所有路径最后都调用ApplyMask我个人在实际操作中的体会是这类自定义控件最考验人的不是写代码那一下而是把所有“用户可能做出来的操作”都枚举一遍然后逐个想清楚它的数据流要往哪里走。只要你把_plainText、TextBox.Text、Password这三个数据源之间的同步关系理清剩下的界面样式都是体力活。最后再分享一个小技巧MaskChar建议做成依赖属性不要写死成星号。有的产品经理会要求密码框用圆点而不是星号有的项目则要求四分位分段显示这时候只改一个字符就能应对。反正我已经把团队公共组件里的密码框底子换成了这套方案后面再遇到“显示密码”相关的需求基本都是半小时以内搞定不用再和PasswordBox的脾气较劲。