现代浏览器完全忽略autocomplete="off"对密码字段的设置，必须用current-password/new-password等语义值区分场景，并配合隐藏干扰字段、动态切换type及服务端校验。
现代浏览器（Chrome 80+、Edge 105+、Safari 15.4+）**完全忽略 autocomplete="off" 对 type="password" 字段的设置**，不是你漏写了属性，是浏览器主动绕过——它把密码管理器体验优先级设得比开发者指令还高。
为什么 autocomplete="off" 在密码框里根本不起作用
控制台会直接报 warning，提示该属性已被弃用；更糟的是，部分浏览器（如 Chrome）看到 autocomplete="off" 反而会 fallback 到 name 属性或历史行为做模糊匹配，填错概率反而上升。常见翻车现场包括：
- 登录页刷新后，密码框被塞进其他网站保存的密码
-
name="cvv"的输入框被自动填入某电商账户的 CVV 值 - 写成
autocomplete="false"或autocomplete="nope"，这些非标准值会被浏览器降级处理，失去语义控制力
current-password 和 new-password 必须按场景严格区分
浏览器不看 type="password"，只认 autocomplete 的语义值来决定“填哪条记录”。混用或漏写，等于亲手打开填充漏洞。
Article To Html
下载
文章转信息图。将文章/笔记转化为手机可读的 HTML 信息图，自动匹配视觉风格。触发场景：文章转图、笔记转图、信息图、转小红书图、做张图、可视化这篇文章、文生图。
- 登录页真实密码框 → 必须用
autocomplete="current-password" - 注册页、改密页的密码框和确认密码框 → 全部用
autocomplete="new-password"（注意：这不是“生成密码”，而是告诉浏览器“别用已有记录填，且允许保存这条新凭证”） - 短信/邮箱验证码输入框 → 用
autocomplete="one-time-code"，防止被当成普通文本填充
光靠属性不够，得加 DOM 干扰和动态行为
仅靠语义属性在某些场景下仍可能被绕过（比如页面加载瞬间预填充）。必须组合 DOM 干扰 + 类型切换：
立即学习“前端免费学习笔记（深入）”；
- 在真实密码框前插入一个隐藏干扰字段：
<input type="password" style="display:none;" autocomplete="new-password" name="fake_pwd"> - 干扰字段不能带
disabled或readonly（部分国产浏览器跳过），也不能用hidden属性或opacity:0（它们不参与自动填充扫描） - 真实密码框初始设为
type="text"，监听focus事件再切回type="password"，避免加载时被抢填 - 服务端必须彻底忽略
fake_pwd字段：不校验、不记录、不透传
最后但最关键：服务端校验不可替代
所有前端防护都只是降低误填概率，不能替代服务端逻辑。比如用户提交了空密码或明显无效值，fake_pwd 被意外提交、或 JS 失效导致类型未切换——这些情况都必须由后端拦截。PCI DSS 合规也明确要求：密码字段的校验与处理逻辑不能依赖前端控制。
