autocomplete="off"无法禁用现代浏览器的自动填充，唯一有效方案是使用标准值autocomplete="new-password"并配合type="password"，必要时通过dom干扰或readonly动态解除来打破登录上下文识别。
autocomplete 属性本身不能“关闭”，它只是个提示，现代浏览器（Chrome 76+、Edge 80+、Firefox 75+、Safari 14+）会主动忽略 autocomplete="off"，尤其对 type="password"、type="email" 等语义化字段。真想禁用自动填充，得绕过浏览器的识别逻辑，而不是指望这个属性生效。
为什么 autocomplete="off" 在密码框里完全没用
浏览器把 type="password" 当作高优先级敏感字段，会强制匹配页面中最近的 type="text" 或 name="username" 字段，组成“登录上下文”——只要结构像登录表单，autocomplete 值就直接被丢进垃圾桶。
- Chrome 甚至会把
autocomplete="off"当作“用户想设新密码”的信号，反而更积极地填充旧密码 - 即使加了
autocorrect="off" autocapitalize="off" spellcheck="false"，也只影响输入法，不干扰自动填充 - 表单外层加
<form autocomplete="off"></form>同样无效，现代浏览器已废弃对该标签的全局响应
autocomplete="new-password" 是唯一标准且有效的密码方案
这是 WHATWG HTML 标准明确定义的值，浏览器必须尊重：它表示“此字段用于设置一个新密码，不要填历史密码”。不是 hack，是正解。
- 必须配合
type="password"使用，单独写autocomplete="new-password"到 text 字段上无意义 - 用户名字段建议同步设为
autocomplete="username"或autocomplete="email"，形成明确配对，避免浏览器乱猜 - 不要写成
autocomplete="newpassword"或autocomplete="nope"—— 这些非标准值在 Safari 和部分 Edge 版本中会被回退到默认行为
当标准方案仍被填充时，用 DOM 干扰打破上下文
如果用了 autocomplete="new-password" 还被填，说明浏览器从 name、type、位置或父表单结构中“脑补”出了登录意图。此时需物理打断它的识别链：
- 在真实密码框前插入一个隐藏的
<input type="password" autocomplete="new-password" style="position: absolute; left: -9999px;">—— 浏览器会优先填这个，真实字段就空着了 - 把密码字段从主
<form></form>中移出，用<div> 包裹，提交时再用 JS 取值 —— 拆掉“登录表单”这个语义容器 <li>避免密码框出现在表单顶部；确保它紧接在用户名/邮箱字段之后，中间不插其他 <code>input（比如验证码、复选框） - 初始状态设
readonly+autocomplete="off"，浏览器解析时看不到可填的活跃密码框 - 监听
focus事件，首次聚焦时立刻removeAttribute('readonly')，并select()聚焦内容 - 注意：不要用
onfocus="this.readOnly=false"内联写法，IE11 不支持属性名大小写混用；统一用 JS 绑定
readonly + focus 动态解除是最兼容的兜底方案
当以上都失效（常见于老旧内网系统、MiniUI 等封装组件），用 readonly 配合 JS 是目前实测兼容性最好的 fallback：
真正难的不是让字段不被填，而是让浏览器“认不出这是密码字段”。所有有效手段都围绕这个核心：混淆语义、拆解上下文、延迟暴露 DOM。别再反复测试 autocomplete="off" 是否生效了——它早就不算数了。
