form autocomplete="off" 不起作用，因它仅是默认值且被主流浏览器弃用，须为每个 input 显式设置标准 autocomplete 值（如 current-password、new-password），并确保 name/id 非空、type 正确、避免敏感命名及隐藏字段干扰。
form autocomplete="off" 为什么根本不起作用
它不是全局开关，只是给没显式设置 autocomplete 的子 <input> 提供默认值。Chrome 76+、Edge 90+、Firefox 90+ 都已弃用该行为——尤其当表单里有 type="password" 或 type="email" 时，浏览器会直接忽略 form autocomplete="off"，转而按字段语义填充。
常见错误现象包括：
- 登录页刷新后，密码框自动出现上次保存的密码
- 注册页的确认密码框被填入和新密码框一样的随机字符串（Safari 尤其明显）
- 支付页
name="cvv"被填入其他网站保存的 CVV 值
真正要检查的是每个 <input> 的 autocomplete 值
浏览器只认 WHATWG 规范定义的标准 token，拼错、大小写错、加连字符或自定义值全无效，且不报错，静默降级为模糊匹配。
必须逐个核对：
立即学习“前端免费学习笔记（深入）”；
-
autocomplete="username"✅（不是"user_name"或"name"） -
autocomplete="current-password"✅（登录场景，不是"password"或"off"） -
autocomplete="new-password"✅（注册/改密，两个密码框都得设） -
autocomplete="cc-number"❌（明示敏感类型，反而强化填充；可改用"section-credit-card number"这类无意义组合干扰识别） - 所有字段必须有非空
name或id，空值或随机生成名（如name="field_abc123"）会让浏览器无法归因
按钮上写 autocomplete="off" 是白忙活
<button> 和 <input type="button"> 完全不支持 autocomplete 属性——HTML 规范明确限定它只对可编辑控件生效（text、password、select、textarea）。用户点“登录”触发的填充，根源在它前面的 <input>，不是按钮。
典型误操作：
- 给提交按钮加
autocomplete="off"，却漏掉密码框的autocomplete="current-password" - 把登录按钮放在
<form>外部，再用form="login-form"关联——这种松散结构让浏览器难以判断填充上下文 - 用 JS 动态修改密码框的
type（比如从text切到password），Chrome 会拒绝识别为密码字段，导致填充失效或异常
排查时优先看控制台和 DOM 结构
打开 DevTools → Elements 面板，直接检查每个 <input> 的最终渲染属性，而不是源码。JS 可能覆盖了初始值。
重点关注：
- 密码框是否真为
type="password"（不是被 JS 改成text后又切回来） -
name属性是否为空、是否含敏感词（pass、pw、cvv等会触发启发式匹配） - 是否存在隐藏的假字段（如
<input type="password" style="display:none">），它可能被浏览器当作真实密码框捕获 - 表单是否跨域加载（如 iframe 内嵌登录框），某些浏览器对跨域表单的
autocomplete解析逻辑不同
复杂点在于：所有前端手段都只是干扰识别，不是阻断。哪怕 DOM 看起来干净，浏览器仍可能通过 CSS 类名、父容器文本、甚至相邻元素顺序推断字段用途。真正的防线永远在服务端校验。
