autocomplete="off"在多数场景下无法阻止浏览器自动填充，尤其对密码字段和chrome 88+、safari 16.4+等新版本常被忽略或强制覆盖，因其被浏览器视为高优先级安全上下文而主动启用填充；真正有效的是使用标准语义值autocomplete="new-password"并配合非语义name、动态插入等策略。
autocomplete="off" 能在多数场景下阻止浏览器自动填充历史值，但它不是万能开关——尤其对密码字段、Chrome 88+、Safari 16.4+ 等新版本，autocomplete="off" 常被忽略或强制覆盖。
为什么 autocomplete="off" 有时失效
浏览器（尤其是 Chrome）把密码类字段当作高优先级安全上下文处理：即使你写了 autocomplete="off"，它仍可能根据 name、type、相邻字段语义（比如 password + confirm-password）推断出这是密码输入，并主动启用填充。这不是 bug，是设计行为。
真正有效的绕过写法（针对密码/敏感字段）
- 用非标准但被广泛支持的值：
autocomplete="new-password"—— Chrome、Edge、Firefox 都将其识别为“新建密码字段”，不会填充旧密码，也不会保存本次输入 - 避免
name="password"或id="pwd"这类强语义名；改用name="user_auth_token"或带随机后缀的名（如name="pass_20260811"） - 对新建密码字段，
autocomplete="new-password"是唯一被 HTML 标准明确认可的“禁用填充”方案；off反而不在规范推荐列表中 - 若需彻底隔离（如验证码、一次性令牌），可配合
type="text"+inputmode="numeric"+spellcheck="false"，进一步降低浏览器误判概率
表单级关闭 vs 字段级关闭的区别
在 <form></form> 上设 autocomplete="off"，只影响该表单内未显式声明 autocomplete 的字段；一旦某个 <input> 自己写了 autocomplete="on" 或标准值（如 email），就会覆盖表单级设置。所以：
- 想全局禁用？必须每个敏感
<input>都单独加autocomplete="new-password"或"off" - 想局部启用（如只让邮箱自动填）？保留
<form autocomplete="off"></form>，仅给邮箱字段设autocomplete="email" - 注意：Safari 对
<form autocomplete="off"></form>支持不稳定，建议字段级控制更可靠
容易被忽略的兼容性细节
某些老系统（如 IE11）不识别 new-password，仍回退到 off；但现代项目基本不用考虑它。真正要小心的是：
-
autocomplete="off"在 Chrome 76+ 对type="password"字段已基本无效，必须换new-password - 如果用了 Web Components 或框架（React/Vue），确保属性没被框架过滤或转义——比如 React 中要写
autoComplete="new-password"（驼峰写法），不是autocomplete - 服务端永远别信前端的
autocomplete设置：它纯属提示，不提供任何安全边界
new-password 是目前最接近“浏览器共识”的信号，其他都是辅助干扰项。前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
