html - html表单中的自动完成属性点

Question

我知道什么是自动完成属性以及如何使用它，但我不明白这一点！我的意思是，我为什么要设置 autocomplete='off' 作为开发人员？里面有什么安全保障吗？或者其他的东西？

标签： htmlformsautocomplete

Answer 1

是的，这是一项安全功能。想象一下这个场景：

您的网站成为 XSS 攻击的受害者（例如，有人能够在您不知情的情况下在您的页面中植入一段 javascript）

您的网站也有用户名/密码字段，当用户进入页面时，恶意脚本会立即获取这些值并将其发送到攻击者的服务器。

当然，这并不能通过禁用自动完成来严格缓解，但至少它可以防止用户数据被保存数据加载页面的人窃取。它要求他们至少输入他们的凭据。

还有一个相当明显的组成部分，即某人获得了对您机器的物理访问权限，然后能够自动完成进入您帐户的方式。