浏览器无法真正关闭密码字段自动填充，关键在于用正确的 autocomplete 语义值（如 current-password、new-password）精准声明用途，而非依赖无效的 autocomplete="off"。
浏览器对密码字段的自动填充不是“能不能关”的问题，而是“怎么告诉它填什么、不填什么”的问题。写 autocomplete="off" 在多数现代浏览器（尤其是 Chrome 76+）中已基本失效，尤其对 type="password" 字段——它会被无视，甚至触发更混乱的填充行为。
autocomplete 必须写在 <input> 上，<form> 上的设置只是兜底
很多人把 autocomplete="off" 写在 <form> 标签上，以为能统一禁用所有子字段的补全。但实际只有 <input>、<textarea>、<select> 这三类表单控件才真正识别该属性。浏览器根本不会看 <div contenteditable> 或自定义组件上的 autocomplete。
常见错误现象：
- 登录页两个输入框都只写了
name和type="password"，没设autocomplete→ Chrome 强行把注册时存的新密码填进登录密码框 -
<form autocomplete="off">包裹了<input type="password">，但没给 input 单独设值 → 补全照常发生
密码字段必须用 current-password 和 new-password，不能混用
这是最常翻车的点：浏览器不是靠 type="password" 判断要不要填，而是靠 autocomplete 的语义值决定“填哪条记录”。写错或漏掉，就等于主动邀请浏览器填错。
立即学习“前端免费学习笔记（深入）”；
正确做法：
- 登录页的密码框：
<input type="password" autocomplete="current-password"> - 注册页/改密页的密码框：
<input type="password" autocomplete="new-password"> - 确认密码框也必须是
autocomplete="new-password"，否则可能被填入其他站点的密码
注意：new-password 不代表“生成密码”，只是告诉浏览器：“这是新凭证，别用已有记录填，且允许保存这条新记录”。如果写成 autocomplete="off" 或空着，Chrome 会 fallback 到 name 或历史行为，结果不可控。
动态 JS 修改 autocomplete 基本无效
有人在页面加载后用 JavaScript 改 input.autocomplete = "off"，或提交后清空属性——这无法阻止浏览器已在内存中缓存的填充逻辑。浏览器的自动填充决策发生在 focus 之前，甚至 DOM 渲染阶段就完成了匹配。
真正起作用的只有 HTML 初始化时的声明。JS 只能做辅助，比如：
- 在用户点击“忘记密码”后，临时移除
autocomplete值并重置字段（但首次加载仍需正确声明） - 配合随机
name或id（如name="pwd_12345"）干扰旧缓存，但效果不稳定，且不如语义值可靠
敏感操作页面建议用 autocomplete="off" + 类型隔离
像二次验证、删除确认、支付授权这类页面，确实需要彻底避免补全。此时可组合使用：
- 给关键字段显式设
autocomplete="off" - 确保
type不是password（例如用type="text"配合 JS 掩码），因为 Chrome 对type="password"的off处理极宽松 - 避免字段
name出现password、pwd、pass等关键词，否则即使autocomplete是off，也可能被启发式识别
真正难处理的不是“怎么关”，而是“怎么让浏览器准确理解你当前要的是哪一条密码记录”。语义值写错一个字符，比如 current-password 拼成 currrent-password，就等于没写。
