autocomplete="off"在现代浏览器中基本无效，真正有效的是让浏览器无法识别敏感字段；应使用autocomplete="new-password"配合type="password"，或通过隐藏干扰项、延迟释放readonly等方式干扰浏览器自动填充逻辑。
autocomplete="off" 在现代浏览器中基本不起作用，尤其是对 type="password" 字段。真正有效的做法是让浏览器“认不出这是敏感字段”，而不是指望它遵守你的关闭指令。
为什么 autocomplete="off" 失效
Chrome、Edge（基于 Chromium）、Firefox 和 Safari 均已将 autocomplete="off" 视为弱提示，而非强制指令。它们会绕过该属性，依据以下信号主动填充：
-
name或id含"password"、"email"、"username"等关键词 -
type="password"本身（尤其在表单中出现第一个password输入框时） - 字段在 DOM 中的位置和上下文（如紧邻
username的下一个input）
典型现象：表单刷新后密码框仍被填入旧值；控制台报 warning：autocomplete="off" is not supported。
对密码字段用 autocomplete="new-password"
这是唯一被 Chrome、Edge 明确支持且语义正确的替代值，适用于注册页、改密页等“新建密码”场景：
立即学习“前端免费学习笔记（深入）”；
- 它不会清空已保存的凭据，但会阻止浏览器将已有密码填入该字段
- 必须配合
type="password"使用，单独设autocomplete="new-password"但type="text"无效 - 不要用于登录页——登录页应设
autocomplete="current-password"，否则可能触发更混乱的填充逻辑
示例：<input type="password" name="new_pwd" autocomplete="new-password">
干扰浏览器识别：隐藏 + 类型切换
浏览器自动填充逻辑会扫描 DOM，优先填充第一个 type="password" 元素。可利用这点插入干扰项：
- 在真实密码框前加一个
<input type="password" style="display:none;"> - 真实输入框初始设为
type="text"，并在focus事件中改为type="password" - 避免给干扰字段设
name="password"，防止后端误收；可用name="fake_pwd"并服务端忽略 - 不能用
hidden属性或visibility: hidden，必须用display: none保证其参与 DOM 解析
这个方法在 Chrome 120+、Edge 125+ 上稳定有效，但需注意移动端软键盘类型切换可能有延迟。
极端情况：只读 + 延迟释放
当以上方法仍被绕过（如某些定制内核浏览器或 360/搜狗等国内双核），可退到防御性最强的 JS 干预：
- 初始设
readonly属性，阻断所有自动填充时机 - 用
setTimeout(..., 1)或requestAnimationFrame移除readonly，避开浏览器填充窗口期 - 不要用
value=""初始化，否则可能被覆盖；若需默认提示，用placeholder - 慎用
disabled——它会导致表单提交时该字段不被包含
关键点：干扰必须发生在浏览器完成自动填充之前，而这个时间窗口极短，1ms 延迟比 1000ms 更可靠。
最常被忽略的是 name 和 id 的语义污染——即使 autocomplete 值再花哨，只要 name="pwd"，Chrome 就大概率填进去。真正起效的永远不是某个属性，而是整套字段“不可识别”的设计。
