autocomplete="new-password"能阻止浏览器自动填充旧密码，因为它是html规范明确定义的特殊保留值，触发浏览器“此字段用于设置新密码，不得填入已保存密码”的硬编码逻辑，而autocomplete="off"等值已被chrome 76+等主流浏览器普遍忽略。
为什么 autocomplete="new-password" 会阻止浏览器自动填充旧密码
因为浏览器对 autocomplete 值的解析是硬编码逻辑，不是简单字符串匹配。new-password 是一个特殊保留值（HTML 规范明确定义），触发的是“此字段用于设置新密码，不得填入已保存的任何密码”的行为。它和 off 或随机字符串不同——后者可能被忽略或降级处理，而 new-password 会被主流浏览器（Chrome、Edge、Firefox）主动识别并跳过自动填充。
常见错误是写成 autocomplete="new"、autocomplete="password-new" 或漏掉连字符，这些都不会生效；只有严格等于 new-password 才起作用。
在注册/重置密码表单中怎么正确使用 new-password
关键不是加了属性就完事，而是要配合表单结构和字段语义。浏览器会结合 type、name、id 和周围上下文综合判断字段用途。
-
type必须是password，不能是text或string -
name或id避免含old、current、confirm等暗示“已有密码”的词（比如name="old_password"可能被误判为旧密码字段） - 密码确认字段也应设为
autocomplete="new-password"，否则浏览器可能只填第一个密码框，留下第二个为空 - 不要给该字段设
value属性（哪怕是空字符串），否则 Chrome 会忽略autocomplete设置
示例：
<input type="password" name="new_password" autocomplete="new-password"><input type="password" name="confirm_password" autocomplete="new-password">
autocomplete="new-password" 与 autocomplete="off" 的实际差异
off 已被现代浏览器普遍无视——Chrome 自 76 起就不再尊重它，Firefox 也在逐步弱化。而 new-password 是规范支持的明确指令，且有配套行为：不仅不填旧密码，还会在用户手动输入后，主动提示“是否保存此新密码”。
安全的随机密码生成器。支持自定义长度、字符类型（大写/小写字母、数字、特殊符号），排除相似字符，批量生成。纯 Python 标准库，无需 API 密钥。
容易踩的坑：
- 在登录表单里误用
new-password：会导致本该自动填充的账号密码完全失效 - 混用
autocomplete="off"和new-password：后者优先，但冗余写法易引发维护困惑 - 以为加了
new-password就能绕过密码管理器的自动填充逻辑：实际上部分第三方密码管理器（如 1Password）仍可能尝试填充，需额外通过data-1p-ignore等私有属性控制
Chrome DevTools 里怎么验证 new-password 是否生效
打开开发者工具 → Elements 面板 → 选中密码输入框 → 查看右侧的 Properties 或 Attributes 面板，确认 autocomplete 值为字符串 "new-password"（注意引号和连字符）。
更直接的验证方式：
- 清空浏览器已保存的密码（设置 → 密码 → 删除对应站点所有条目）
- 访问表单页面，手动输入一次新密码并提交
- 刷新页面，聚焦密码字段 —— 此时不应出现下拉填充建议；若出现，说明
autocomplete未被识别（检查拼写、type、name 是否合规） - 右键点击该字段，若“自动填充”子菜单中“密码”选项置灰，基本可判定生效
真正麻烦的不是设这个属性，而是它依赖整个表单的语义一致性——哪怕一个 id="pwd_old" 就可能让浏览器推翻你所有的 new-password 设置。
