security - 密码字段是否应包含 'autocomplete="off"'？

Question

这似乎是一个普遍的建议，密码输入字段应该包括将它们的 autocomplete 属性设置为 off。

https://www.owasp.org/index.php/OWASP_Application_Security_FAQ#Am_I_totally_safe_with_these_directives.3F

https://portswigger.net/kb/issues/00500800_password-field-with-autocomplete-enabled

但大多数浏览器似乎也忽略了这个属性，并且会提示用户存储他们的密码，而不管它的存在/值。

这是毫无意义的推荐吗？作为安全最佳实践，密码字段是否应包含 autocomplete="off"？

Answer 1

不建议不是毫无意义的，问题是客户端代理也可以覆盖此设置。但也有办法解决这个问题，您可以关注此处的讨论 StackOverFlow Discussion