autocomplete="off"在form上基本无效，现代浏览器会忽略它，必须逐个处理敏感input，对新密码字段应使用autocomplete="new-password"并配合随机name、动态插入等策略破坏语义识别。
autocomplete="off" 在 form 上基本无效
现代浏览器（Chrome ≥34、Edge、Firefox ≥38）会主动忽略 form 标签上的 autocomplete="off"，尤其是当表单内含 type="password" 或 name 包含 password/username 等关键词时。这不是 bug，是浏览器为保障密码管理体验做的强制干预。
实操建议：
将调研报告、方案对比、数据分析、需求梳理、会议纪要、设计说明、代码评审、学习笔记等任务产物输出为可在浏览器直接打开的单文件 HTML，替代 Markdown 作为最终交付物。Markdown 在信息密度、视觉清晰度和可分享性上已跟不上 AI 产物的丰富度，HTML 能同时承载排版、表格、SVG 等。
- 永远不要只在
form上设autocomplete="off"—— 它大概率不起作用 - 必须逐个处理敏感
input，且值不能只是"off" - 对新建密码字段，用
autocomplete="new-password"；对一次性验证码，可用autocomplete="one-time-code"
密码字段仍被自动填充的真正原因和对策
即使写了 autocomplete="new-password"，Chrome 仍可能把旧密码塞进去，因为它识别出该 input 处于“登录上下文”中（比如父级 form 有 action="/login"，或 DOM 位置靠近 class="login-form"）。
实操建议：
- 改掉容易触发识别的
name和id，比如不用name="password"，换成name="reg-pwd-2026" - 避免让该
input出现在传统登录区域：可移出form，用 JS 提交；或给父容器加非语义 class（如class="auth-step-2"而非class="login"） - 页面加载后立即清空：
document.getElementById('pwd-field').value = ''，但必须在DOMContentLoaded后立刻执行，晚于浏览器自动填充时机就白搭
随机字符串法（autocomplete="nope"）为什么有时管用
浏览器只尊重标准 autocomplete 值（如 email、new-password），遇到非标准值（如 "nope"、"false"、"disabled"）会放弃自动填充逻辑，因为无法映射到任何已知字段类型。
注意点：
- 这个技巧对普通文本字段（如验证码、CVV）有效，但对密码字段效果不稳定 —— 浏览器仍可能强行注入凭据
- 别用
autocomplete="off"+type="text"再 JS 切回password，这会破坏屏幕阅读器支持，且部分密码管理器无法识别 - 若你同时用了第三方密码管理器（Bitwarden、1Password），乱设非标值会导致它们无法保存或填充，得不偿失
真正需要关闭自动填充的字段类型
不是所有字段都该关。滥用 autocomplete="off" 会损害无障碍体验和用户效率。只在以下场景必须关闭：
- 短信验证码：
<input type="text" name="sms-code" autocomplete="one-time-code"> - CVV 卡安全码：
<input type="text" name="cvv" autocomplete="off"> - 新密码与确认密码字段：
autocomplete="new-password"（两个都设） - 动态生成的安全问题答案、临时 token 输入框
- 测试环境中的模拟字段（如
fake-username），防止干扰真实填写
最易被忽略的一点：关闭自动填充不是目的，关键是让浏览器「无法可靠识别字段语义」—— 所以 name/id/上下文/属性值要协同处理，单靠一个 autocomplete 属性远远不够。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
