是否应该允许网站在表单或字段上禁用自动填充功能？

#1 楼

问题在于，此设置同时控制浏览器中两个相似但充分不同的功能的行为，以致难以获得最佳效果。
首先，我们将您称为“智能”或“天真”或“自动”自动完成。
这是原始的自动完成技术。当您在各个站点上填写表格时，浏览器会监视表格的名称和您填写的内容，并且会默默记住这些详细信息。然后，当访问具有类似外观的表单的另一个站点时，它将使用从先前在其他站点上的行为中获取的值“有用”地填写字段。
这里的想法是节省您的时间，而无需任何配置或决定方面请填写您的名字？我们将自动填写您上次使用的名称。填写信用卡？我们会填写您在其他地方使用的信用卡。
为了帮助您的浏览器，浏览器会与其他网站共享您从一个网站的秘密，以防万一。从安全的角度来看，这是一场灾难，原因很明显，也有几个不明显的原因。必须将其禁用，并且可能一开始就不应实施。
其次，我们具有“显式”或“安全”或“配置”自动完成功能。
这就是世界，主要是保存的用户名和密码。在这种情况下，浏览器仅在您明确同意的情况下保存您的表单数据。理想情况下，它将数据存储在加密存储中，最关键的是，数据与单个站点牢固关联。因此，您的Facebook密码将保留在Facebook上，而您的Amazon地址将保留在亚马逊上。
此技术与众不同之处在于，当检测到匹配的环境时，浏览器将重播已保存的行为。相比之下，另一种技术是通过寻找相似性来自动预期期望的行为。
当您访问该网站并显示登录表单时，您的浏览器应会自动填写您为此目的明确保存的数据。对于用户而言，交互应该是快速且无需考虑的。而且，至关重要的是，绝对应该在网络钓鱼尝试中崩溃。浏览器应该完全不愿意向网络钓鱼站点提供凭据，以至于让她停下来并思考为什么该站点不起作用。
此功能是您防范网络钓鱼的主要防线。它必须工作。如果用户不能依靠此功能在正常情况下透明而轻松地工作，那么不可避免地会降低安全性。
虽然这主要用于凭证存储，但它也是放置其他安全数据的安全场所，例如付款卡，地址，安全性问题等。此类附加数据可能不是特定于站点的，但可能不会在没有提示的情况下自动填充。
一种选择方式可以将它们全部排除
问题这是在许多实现中，autocomplete=false选项控制两种行为。既要保留一个，也要杀死一个。
理想情况下，永远不要禁用“安全”自动完成功能。我们依靠此功能来增加安全性，因此不应允许误导的站点操作员对此进行危害。
理想情况下，默认情况下应禁用“自动”自动完成功能，仅在少数情况下启用条件（如果有的话），您实际上希望浏览器重新使用来自其他站点的输入。

#2 楼

当我进行笔测试时，如果表单字段要求输入敏感数据（例如信用卡号），不是密码字段并且没有autocomplete = off，我会报告一个问题。

是浏览器非常明智地管理密码的自动完成功能：它们为用户提供了是否存储密码的选项，（大多数）用户可以做出明智的决定。

对于非密码字段，自动完成行为是不可取的。如果我让某人使用我的计算机，他们会转到电子商务结帐页面，并看到我的信用卡详细信息已自动完成-这很糟糕。

#3 楼

浏览器无视autocomplete=off的原因是因为有些网站试图禁用密码自动填充功能。

那是错误的；并且在2014年7月，Firefox是最后一个实现该更改以忽略任何试图关闭密码自动填充功能的网站的主要浏览器。




2009年6月：IEInternals博客，他们讨论如何保持用户的控制权（存档）

2014年2月：Chrome在开始忽略autocomplete=off（存档）时的公告

2014年1月：Bugzilla错误956906-忽略自动完成提供通过密码管理器（存档）保存密码的=“ off”

关于Firefox更改的Reddit讨论（存档）

任何网站试图绕过浏览器的首选项是错误的，这就是为什么浏览器会忽略它。没有理由知道为什么网站应该尝试禁用密码保存。


Chrome忽略它
Safari忽略它
IE忽略它
Firefox忽略了它

如果我是特殊的雪花怎么办？

有人提出了一个很好的用例：


我有一台共享的公共区域亭式计算机。我们不希望有人（有意或无意）保存密码，以便下次用户可以使用它。


这不会违反以下声明：


任何网站企图绕过浏览器首选项的尝试都是错误的


，因为在共享信息亭的情况下：


不是具有奇怪策略的Web服务器
是客户端用户代理

浏览器（共享计算机）是具有以下要求的一种：不要尝试保存密码。防止浏览器保存密码的正确方法是将浏览器配置为不保存密码。由于您已锁定并控制此信息亭计算机：因此可以控制设置。其中包括保存密码的选项。

在Chrome和Internet Explorer中，您可以使用组策略（例如注册表项）配置这些选项。

从Chrome策略列表中：


AutoFillEnabled

启用自动填充

数据类型：布尔值（ REG_DWORD）

Windows注册表位置：Software \ Policies \ Chromium \ AutoFillEnabled

说明：启用Chromium的自动填充功能，并允许用户使用以前存储的信息（例如地址）自动完成Web表单或信用卡信息。如果禁用此设置，则用户将无法使用自动填充。如果启用此设置或未设置值，则自动填充将保持在用户的控制之下。这将使他们能够配置AutoFill配置文件，并自行决定打开或关闭AutoFill。


请输入一个单词，表示尝试禁用密码自动填充是错误的，浏览器有意无视任何尝试这样做的人都应该停止做错事。™

如果您希望浏览器不自动完成项目，则应将浏览器配置为关闭自动完成功能。任何网站都不应将此偏好强加于其他用户。

#4 楼

我已经为多家银行做过几次笔试，我们始终建议您禁用自动完成功能。这样做的原因是，大多数用户不使用密码管理器，因此密码会以纯文本的形式保存在浏览器中（某些浏览器实际上会加密自动完成密码，但这只是最近才完成）。
< OWASP测试指南也建议这样做：


大多数浏览器中都存在对表单字段的缓存。对于包含敏感信息（例如信用卡号）的表单字段
，应使用AUTOCOMPLETE = OFF属性禁用自动完成功能，该属性
可在每个INPUT标签中使用1。此功能将无法针对当前版本的HTML规范进行验证
，尽管现在大多数浏览器都支持此功能。


只要保护了敏感信息，没问题此设置的最大问题是使用共享计算机时。缓存您的信息的风险非常大，一个无辜的绕过者可以窃取您的信息。请记住，大多数用户的教育程度不如这里的大多数人。

现在银行无法实际验证您使用的是个人计算机还是共享计算机，因此风险评估为此，最好禁用自动完成功能。

#5 楼

每个人似乎都忘记了计算机每天都在被盗，大多数计算机都运行Windows。
您无需登录Windows即可更改用户密码。

您认为损失多少？可以由被盗的计算机完成，并将所有自动完成信息保存在浏览器中吗？
大多数甚至没有针对浏览器自动完成的密码保护，因此在浏览器中是否加密数据并没有什么区别填写所有站点的数据。

如今，在Facebook和Twitter上的欺诈行为已经很普遍。
保存的密码是造成这种情况的原因之一。

如果发生这种情况怎么办？ CEO会保存密码，而有人会窃取计算机吗？
此功能可以防止所有人被劫持帐户。