autocomplete="off"在现代浏览器中基本无效，尤其对type="password"字段；应根据场景设为new-password、current-password或one-time-code等标准值。
autocomplete="off" 在现代浏览器中基本无效，尤其对 type="password" 字段——这不是你代码写错了，是浏览器主动忽略它。
为什么 autocomplete="off" 总是失效
Chrome、Edge（Chromium 内核）、Firefox 自 2021 年起已将 autocomplete="off" 视为弱提示。它们优先依据字段语义判断是否填充：比如 name="email"、type="password"、name="confirm_password" 这类结构，哪怕加了 off，也会被识别为敏感字段并强行填充。
常见错误现象：
- 刷新页面后，密码框自动填入上次保存的密码
- 注册页的“确认密码”输入框被塞进一个随机生成的新密码（其实是浏览器误判为“新密码生成”场景）
- 控制台出现警告：
autocomplete="off" is not supported
type="password" 字段该设什么 autocomplete 值
只要 type="password"，浏览器就默认盯上这个字段。此时设 autocomplete="off" 不仅没用，还可能触发 Chrome 的“新密码建议弹窗”。
实操建议：
- 新建密码字段（如注册、改密）：必须用
autocomplete="new-password"—— 这是唯一被所有主流浏览器承认的标准值 - 确认密码字段：同样用
autocomplete="new-password"，不要留空或设off，否则 Safari 可能复用上一次生成的密码 - 登录页密码框：应设
autocomplete="current-password"，明确告诉浏览器“这是已有账号的密码”，避免填错成其他账户 - 绝对不要给非登录页的密码字段（如支付 PIN、二次验证口令）设
current-password，否则会锁死整个表单逻辑
干扰浏览器识别的可行手段
浏览器自动填充依赖 DOM 解析阶段的字段语义和顺序。你可以利用这点做轻量级干扰，无需 JS 框架介入。
关键策略：
- 在真实密码框前插入一个不可见但合法的
type="password"干扰项：<input type="password" style="display:none;" name="fake_pwd">—— 注意不能用hidden或disabled，否则部分浏览器跳过 - 真实密码框初始设为
type="text"，并在focus事件中动态改为type="password"，避开页面加载时的预填充时机 - 对验证码、邀请码、核销口令等纯业务字段，用
autocomplete="one-time-code"—— 它既不触发历史填充，又兼容 WebAuthn 场景 - 服务端渲染（SSR）+ 客户端渲染（CSR）混合项目中，确保 hydration 前后
autocomplete值一致，否则 React/Vue 重绘时可能唤醒填充逻辑
整张表单禁用自动填充的现实路径
<form autocomplete="off"> 在 Chrome 76+ 已被废弃，仅对旧版 IE/Safari 有微弱兼容作用，不能作为主方案。
真正有效的做法是逐字段控制：
- 每个
<input>都显式设置合理值：敏感字段用new-password、one-time-code；普通字段（如姓名、邮箱）保留语义化值（name、email）以兼顾可用性 - JS 动态插入的字段（如点击“添加银行卡”后追加的
cc-number输入框），必须同步设置autocomplete="cc-number"或off，否则浏览器会在下次解析时重新识别 - 隐藏字段（如用于 CSRF token 的
<input type="hidden">）也需设autocomplete="off"，部分浏览器会对 hidden 类型做特殊处理
最易被忽略的一点：干扰字段的 name 不能是 password 或 pwd，否则后端可能误收并校验；应命名为无意义值（如 fake_pwd_123），并在服务端明确忽略。
