禁用 input 的 autocomplete 属性无法彻底阻止浏览器自动补全，需结合语义无关的 autocomplete 值（如 "new-password"）、去语义化字段名与 type、form 级设置及服务端字段脱敏等多层措施。
禁用 input 的 autocomplete 属性
浏览器对 <input> 标签的自动补全行为，主要由 autocomplete 属性控制。设为 "off" 并不能彻底禁用——现代浏览器（chrome ≥ 76、edge ≥ 79、firefox ≥ 110）会忽略该值，尤其在密码、邮箱、用户名等敏感字段上。
真正有效的做法是：用语义无关但合法的值欺骗浏览器，例如：
-
autocomplete="new-password"（对非密码字段也生效，Chrome 最认可） -
autocomplete="off"+ 配合name和id使用无意义字符串（如name="field_abc123"） - 对防探测场景，还可加
autocomplete="nope"或autocomplete="false"——虽非法但部分旧版浏览器仍识别
注意：不要只靠 HTML 层面设置。如果后端返回的是标准表单字段名（如 name="username"），即使加了 autocomplete="off"，Chrome 仍可能基于 name 值触发填充逻辑。
阻止浏览器推测字段用途
自动补全常依赖字段语义（type、name、placeholder）做匹配。比如 type="email" 或 name="email" 会直接激活邮箱填充；placeholder="请输入手机号" 可能被识别为 tel 字段。
防探测时需主动“去语义化”：
- 用
type="text"替代type="email"/type="tel"/type="number" -
name和id避免出现user、pass、phone、addr等关键词，改用哈希或随机串（如name="f_k8x2"） - 移除或模糊
placeholder文本，避免含语义提示（如不写“手机号”，改写“请输入一串数字”）
这类操作不影响前端校验逻辑，但可大幅降低浏览器自动填充/补全的命中率，尤其对防库表结构遍历类探测很关键——攻击者无法靠字段名反推后端模型字段。
禁用 form 级自动补全与历史记忆
整个 <form> 标签也有 autocomplete 属性，设为 "off" 是必要但不充分的。它仅影响浏览器是否记住该表单整体提交内容，不阻止单个 input 的实时补全弹窗。
更稳妥的做法是组合使用：
- 给
<form>加autocomplete="off"（兼容老浏览器） - 同时在 JS 初始化时动态清空浏览器已缓存的字段值：
input.value = ""，并调用input.removeAttribute("value")防止 DOM 回填 - 对敏感表单，可在
DOMContentLoaded后立即重置所有 input 的defaultValue，阻断表单恢复机制
注意：不要依赖 autofill="off" ——这不是标准属性，无效；也不要试图用 readonly + onfocus="this.removeAttribute('readonly')"，这反而会触发 Chrome 的“检测到手动解除 readonly”逻辑，增强补全权重。
服务端配合：避免响应头泄露字段信息
前端再严，若服务端接口返回的 JSON 结构暴露了数据库字段名（如 {"user_name": "xxx", "mobile_no": "138..."}），就等于把表结构白送给爬虫或探测工具。
必须做字段映射脱敏：
- API 响应中不用原始数据库列名，统一走别名（如
"un"代替"user_name"） - HTML 表单提交字段名也同步映射，前后端保持一致（如 POST body 中用
f_un=xxx） - 禁止在
console.log、注释、错误提示、source map 中输出原始字段名
这个环节最容易被忽略——前端关得再紧，只要接口文档或响应体里明文写着 account_id、pwd_hash，探测脚本就能自动拼出整张 user 表结构。
