直接在敏感字段加 autocomplete="off" 并不可靠，应组合使用 new-password、动态 type 切换、语义化命名及服务端强校验等策略。

直接在敏感字段上加 autocomplete="off" 并不能可靠阻止现代浏览器（尤其是 Chrome、Firefox、Safari）对密码、用户名、邮箱等字段的自动填充。它更多是提示而非指令，尤其在登录类表单中，浏览器会主动忽略该设置以保障用户体验。真正有效的做法需要组合策略，兼顾前端控制与后端防护。

优先使用语义化 autocomplete 值替代 "off"

浏览器对 autocomplete="off" 的支持越来越弱，但对标准语义值识别明确：

• 密码字段：用 autocomplete="new-password"（HTML5 规范值），告诉浏览器这是新建密码场景，不应用已保存的密码填充
• 用户名字段：避免用 name="username" 或 name="email" 等易被识别的名称；可改用 name="user_id_hint" 等非标准名，并配合 autocomplete="username" 或 autocomplete="section-foo username" 隔离上下文
• 隐藏真实意图：初始用 type="text" 渲染密码框，onfocus 时再切换为 type="password" 并修正 name 和 autocomplete，让浏览器自动填充逻辑错过时机

表单级控制与降级兼容处理

若需整体禁用，可在

标签上设置，虽不保证生效，但对部分旧版浏览器或非关键字段仍有作用：

DeepBI DHTML 页面生成器

生成可在 deepbi 沙箱 iframe 内运行或作为独立文件运行的交互式 HTML 页面，使用 `window.deepbi` JS SDK 实现数据查询、空间管理、文件浏览及用户操作。当用户提出以下需求时启用该能力： - 创建 KPI 仪表盘、数据表格、文件浏览器、成员列表、管理页面； - 明确要求“转成 dhtml”、“转译成 HTML”、“把 XX 页面转成……”、“控制台页面”、“管理后台”、“DeepBI 页面迁移”； - 提及位于 `apps/console/src/featur

下载

• —— 适用于注册、反馈等非登录类表单
• 搭配 autocomplete="nope" 或 autocomplete="false" 等无效值（部分浏览器会因无法识别而放弃自动填充）
• 在 input 上添加 onfocus="this.setAttribute('autocomplete', 'off')"，动态覆盖属性（适合临时补救）

服务端必须同步加固

前端限制只是辅助，安全底线在服务端：

• 密码等敏感字段绝不通过 GET 提交，URL 中不出现明文或参数痕迹
• 所有表单提交强制使用 POST + 有效 CSRF Token 校验
• 接收端对字段做类型强转、长度截断、HTML 编码与白名单过滤（如仅允许字母数字下划线的用户名）
• 日志系统屏蔽敏感字段输出，数据库存储须加密（如 bcrypt 处理密码）

用户侧与测试注意事项

开发阶段需注意浏览器行为差异：

• Chrome 在用户主动保存过密码后，会无视 autocomplete="off" 并继续填充 —— 这是设计使然，非 bug
• Firefox 对登录表单中 autocomplete="off" 的响应不稳定，建议优先采用 new-password + 动态 type 切换方案
• 本地测试时，可临时在 chrome://settings/autofill 关闭自动填充功能，验证页面表现
• 清除已有填充记录：聚焦输入框 → 键盘方向键选中历史项 → 按 Shift+Delete（Chrome）或 Fn+Delete（Mac）删除