autocomplete =“off”应该用于所有敏感字段吗？

Question

关于电子商务环境，您对此问题有何看法？

您是否认为在所有敏感输入字段（例如密码（登录区域））上关闭自动完成功能是明智的，还是会给客户带来不便？

Answer 1

我讨厌这样做的网站。如果客户想要保存密码，则由客户决定。特别令人厌烦的是，该属性打破了OS X的原生KeyChain支持。因此，即使用户已将其密码存储在安全文件中，并授权自己和应用程序使用它，该网站仍然认为它更清楚。只是简单烦人。

Answer 2

几年前我工作的电子商务应用程序进行了安全审核，其中一项建议是禁用敏感字段的自动完成功能。

这不是一个严格的要求，但考虑到电子商务标准如今，它可能会在某个时候出现......

Answer 3

除非它是一个高度安全的网站，否则我倾向于保留自动填充功能。如果是密码字段，浏览器会提示用户是否要保存信息，此时用户可以自行决定。

Answer 4

我真的不喜欢当我开始输入我的信用卡号码时，它列出了我过去使用的所有号码，以及3位数码。 IMO并不酷。

Answer 5

这取决于您对电子商务的意义。在Internet银行中，您应该禁用自动完成功能。在网上购物 - 不一定。

值得记住的是，自动填充不会强制记住密码。用户必须同意存储他们的凭据，因此他们总是可以拒绝。

Answer 6

我同意。根据习惯，我会自动完成。但是，有一个我正在研究的空军项目需要自动完成。真的取决于你的要求。

Answer 7

我实际上并不认为我曾经在密码字段上看过“自动完成”工作。

自动填充（当你开始在表单字段中输入内容，并且浏览器弹出一个建议列表），并要求浏览器记住你的用户名和密码是两回事。

如果您正在谈论记住您的用户名和密码的浏览器功能，我不知道您可以在用户的​​计算机上禁用该功能。

Answer 8

我使用密码/表单管理器（如1Password和RoboForm 专门）来绕过禁用自动填充功能的网站;这些附加组件通常会忽略网站的偏好，转而支持自己更复杂的逻辑。

Answer 9

大多数电子商务网站都会停用信用卡字段的自动填充功能。它们在经过身份验证的用户返回时存储和重新显示信息，然后只需要用户重新输入CVV。这样，网站就会让用户注册（否则，他们每次都必须重新输入完​​整的CC信息），在随后的访问中保持CC信息被屏蔽，并且只会使用户输入一个三位数的数字。 （这也是围绕CC编号建立安全实践的一种小方法，因此用户希望能更好地保护它们。）

请记住，设置自动完成开/关仅解决共享环境的数据机密性，即多个人访问同一浏览器。例如，如果您的应用适用于教室，那么完全禁用自动完成功能会更有意义，因为应用 将被许多不同的人在同一浏览器中重复使用。

将其视为（in）便利功能，而非安全功能。在共享浏览器时（例如不注销），您无法保护用户免受每一个愚蠢的错误，并且为了对愚蠢的用户更好，它不会对像键盘记录器这样的客户端攻击产生任何影响。如果共享环境不安全，那么您的应用无法保护其用户。