直接在敏感字段加 autocomplete="off" 并不可靠，应组合使用 new-password、动态 type 切换、语义化命名及服务端强校验等策略。
直接在敏感字段上加 autocomplete="off" 并不能可靠阻止现代浏览器（尤其是 Chrome、Firefox、Safari）对密码、用户名、邮箱等字段的自动填充。它更多是提示而非指令，尤其在登录类表单中，浏览器会主动忽略该设置以保障用户体验。真正有效的做法需要组合策略，兼顾前端控制与后端防护。
优先使用语义化 autocomplete 值替代 "off"
浏览器对 autocomplete="off" 的支持越来越弱，但对标准语义值识别明确：
-
密码字段：用
autocomplete="new-password"（HTML5 规范值），告诉浏览器这是新建密码场景，不应用已保存的密码填充 -
用户名字段：避免用
name="username"或name="email"等易被识别的名称；可改用name="user_id_hint"等非标准名，并配合autocomplete="username"或autocomplete="section-foo username"隔离上下文 -
隐藏真实意图：初始用
type="text"渲染密码框，onfocus时再切换为type="password"并修正name和autocomplete，让浏览器自动填充逻辑错过时机
表单级控制与降级兼容处理
若需整体禁用，可在 <form></form> 标签上设置，虽不保证生效，但对部分旧版浏览器或非关键字段仍有作用：
DeepBI DHTML 页面生成器
下载
生成可在 deepbi 沙箱 iframe 内运行或作为独立文件运行的交互式 HTML 页面，使用 `window.deepbi` JS SDK 实现数据查询、空间管理、文件浏览及用户操作。当用户提出以下需求时启用该能力： - 创建 KPI 仪表盘、数据表格、文件浏览器、成员列表、管理页面； - 明确要求“转成 dhtml”、“转译成 HTML”、“把 XX 页面转成……”、“控制台页面”、“管理后台”、“DeepBI 页面迁移”； - 提及位于 `apps/console/src/featur
-
<form autocomplete="off"></form>—— 适用于注册、反馈等非登录类表单 - 搭配
autocomplete="nope"或autocomplete="false"等无效值（部分浏览器会因无法识别而放弃自动填充） - 在
input上添加onfocus="this.setAttribute('autocomplete', 'off')"，动态覆盖属性（适合临时补救）
服务端必须同步加固
前端限制只是辅助，安全底线在服务端：
- 密码等敏感字段绝不通过
GET提交，URL 中不出现明文或参数痕迹 - 所有表单提交强制使用
POST+ 有效CSRF Token校验 - 接收端对字段做类型强转、长度截断、HTML 编码与白名单过滤（如仅允许字母数字下划线的用户名）
- 日志系统屏蔽敏感字段输出，数据库存储须加密（如 bcrypt 处理密码）
用户侧与测试注意事项
开发阶段需注意浏览器行为差异：
- Chrome 在用户主动保存过密码后，会无视
autocomplete="off"并继续填充 —— 这是设计使然，非 bug - Firefox 对登录表单中
autocomplete="off"的响应不稳定，建议优先采用new-password+ 动态 type 切换方案 - 本地测试时，可临时在
chrome://settings/autofill关闭自动填充功能，验证页面表现 - 清除已有填充记录：聚焦输入框 → 键盘方向键选中历史项 → 按
Shift+Delete（Chrome）或Fn+Delete（Mac）删除
