autocomplete="off"无效是因为浏览器主动无视它，chrome、firefox、edge自2020年起对密码及敏感字段忽略该属性，真正有效的是autocomplete="new-password"。
autocomplete="off" 为什么根本不起作用
不是你写错了，是浏览器主动无视它。Chrome、Firefox、Edge 从 2020 年起就明确不响应 autocomplete="off" 对 type="password" 或语义化敏感字段（如 name="cardNumber"、name="cvv"）的设置。浏览器认为强制禁用自动填充会降低密码安全性——用户更可能复用弱密码，而不是依赖密码管理器生成强密码。
WHATWG 规范里 "off" 甚至不是合法值；Safari 直接当无效字符串处理；Chrome 和 Firefox 则按字段语义做启发式识别，name、type、相邻字段结构都会被扫描。哪怕你写了 autocomplete="off"，只要它看起来像登录框或支付字段，填充照常发生。
真正有效的替代值：用 autocomplete="new-password"
这是 WHATWG 明确支持的合法值，也是目前兼容性最好、副作用最小的方案。它的含义不是“禁止填充”，而是“这是一个新密码输入场景”，浏览器不会填旧密码，也不会保存本次输入。
-
type="password"字段必须用autocomplete="new-password"，不能是"off"或空字符串 - 注册页、改密页、重置密码页都适用；但登录页的密码框不能用这个值，否则密码管理器无法正常填入已存密码
- 对非密码字段（如邮箱、姓名），可配合混淆
name使用，例如name="user_email_x7f"而非name="email" - 不要在同一个表单里混用
autocomplete="new-password"和autocomplete="current-password"，部分浏览器会触发异常行为
混淆字段语义比禁用更可靠
浏览器靠字段名、类型、上下文猜意图。与其对抗，不如让它“认不出来”。重点不是阻止填充，而是让浏览器失去判断依据。
- 动态改
type：初始设为type="text"，focus时再切回type="password"；Chrome 只对初始type="password"做密码管理 - 随机化
name和id：避免password、pass、pw、cc-number等关键词，用哈希或时间戳生成，如name="pwd_9e2a" - 拆分敏感字段结构：比如把银行卡号分成 4 段输入，每段
autocomplete="off"仍无效，但整段语义被破坏，浏览器难以匹配 - 对
autocomplete值加空格或非法前缀：如autocomplete="section-credit-card number"（注意中间空格），部分浏览器因无法识别而跳过
服务端才是真正的防线
所有前端手段都只是防误填，不是安全控制。浏览器可能绕过 JS、用户可能粘贴、爬虫或恶意脚本也能注入数据。
- 任何含 CVV、卡号、身份证号、密码的字段，服务端必须校验格式（如 CVV 必须是 3–4 位纯数字）、长度、正则（拒绝常见弱密码模式）
- 不要信任
autocomplete值来判断是否被自动填充；要分析请求行为，比如同一 IP 短时间内提交多组不同卡号+相同 CVV，大概率是自动填充异常 - 涉及支付的场景，必须用 PCI DSS 合规方案（如 Stripe Elements），确保敏感数据根本不经过你的服务器和日志
最易被忽略的一点：混淆和延迟绑定只影响浏览器识别逻辑，不影响用户实际输入内容。别忘了清空初始 value，也别在 DOM 加载完成前就绑定事件监听——否则某些浏览器（如旧版 IE）可能在 JS 执行前已完成填充。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
