主流浏览器自2021年起主动忽略autocomplete="off"对密码框的设置，唯一有效方案是使用autocomplete="new-password"并满足name非敏感、无预设value等严格条件。
autocomplete="off" 为什么在密码框上完全没反应
Chrome、Edge、Firefox 等主流浏览器自 2021 年起已明确忽略 autocomplete="off" 对 <input type="password"> 的设置——这不是兼容性问题，而是浏览器主动拒绝执行。它们优先保障用户已保存的凭据体验，认为开发者单方面禁用属于反模式。你看到“依然自动填入密码”，不是代码写错了，是浏览器故意无视了你写的 autocomplete="off"。
常见错误现象包括：
- 表单提交后刷新页面，密码框仍被自动填充
- 给
<form>加了autocomplete="off"，但子元素照样被填 - JS 动态设置
input.autocomplete = "off"，毫无效果
真正起作用的前提只有一个：让浏览器无法将该字段识别为“密码输入框”。
对 password 字段必须用 autocomplete="new-password"
autocomplete="new-password" 是目前唯一被 Chrome 120+、Edge 115+、Firefox 110+ 明确认可的禁用信号，但它有严格生效条件：
立即学习“前端免费学习笔记（深入）”；
- 必须配合
type="password"使用；type="text"下加该属性基本无效 - 不能预设
value属性（包括空字符串value=""），否则 Chrome 会视为“已有内容”而触发填充逻辑 - 若表单中同时存在
current-password和new-password字段，匹配成功率更高；只放一个new-password，部分新版 Chrome 可能降级处理 - name 属性不能是
password或passwd，建议用name="user_new_pwd"这类非标准名
示例写法：
<input type="password" name="user_new_pwd" autocomplete="new-password">
对 text/email/username 字段怎么绕过识别
浏览器不仅看 autocomplete，还会扫描 name、id、label 文本甚至 DOM 位置。单纯写 autocomplete="off" 对 type="text" 字段虽偶有作用（如 Safari 旧版），但不可靠。
更有效的做法是“语义污染”：
- 把
autocomplete="nope"或autocomplete="false"当作字符串值用（注意不是布尔值） - 避免
name="email"、name="username"，改用name="contact_hint"、name="login_id_7x" - id 同样要脱敏：
id="field_qwerty"比id="login-username"安全得多 - 如果字段用于注册页而非登录页，显式写
autocomplete="username"反而比"off"更少触发错填（浏览器更倾向“按声明填充”，而非瞎猜）
JS 延迟干预是最后防线，但时机极关键
有些浏览器（尤其是 Safari 和新版 Chrome）会在 DOM 渲染完成后的几毫秒内强行填充，此时 HTML 层面的所有设置都已失效。必须用 JS 在“浏览器填充动作发生后、用户看到前”清空内容。
关键点：
- 不能用
DOMContentLoaded立即执行，要加setTimeout(..., 1)或requestAnimationFrame延迟一帧 - 必须同时清空
input.value和input.setAttribute('value', '')，否则部分浏览器会回退到value属性值 - 不要在
focus或click事件里重置，用户可能已经看到填充内容 - 若字段需 placeholder 提示，用
placeholder替代初始value，否则 JS 清空后 placeholder 也会消失
最小可行示例：
document.addEventListener('DOMContentLoaded', () => {
const input = document.getElementById('my-pwd');
setTimeout(() => {
input.value = '';
input.setAttribute('value', '');
}, 1);
});
最常被忽略的是：即使你用了所有技巧，只要表单结构暴露了上下文（比如两个相邻的 type="password" 字段，且 label 写着“旧密码”“新密码”），浏览器仍可能基于视觉线索推测用途。真正的“彻底关闭”，本质是让字段在浏览器眼里既无语义、又无上下文、还来不及被填。
