Chrome为何不自动填充已保存的密码？

Question

Chrome 有时不自动填充已保存密码，常见原因包括：① 网站启用了 `autocomplete="off"` 或现代的 `autocomplete="new-password"` 属性，主动禁用浏览器自动填充；② 当前页面 HTTPS 与保存密码时的协议/域名不一致（如 http:// vs https://、www. 与非 www.）；③ Chrome 设置中“密码”自动填充功能被关闭，或“自动登录”选项未启用；④ 多账户场景下，Chrome 未识别当前登录的 Google 账户与密码保存账户一致；⑤ 扩展程序（如密码管理器、广告拦截器）干扰了表单 DOM 结构或 input 元素属性；⑥ 密码字段未被正确识别——需为 `<input type="password" />` 且与对应用户名字段存在语义关联（如 name/name/id 匹配或相邻 DOM 结构）。此外，Chrome 90+ 对 autofill 的隐私策略更严格，要求表单提交至少一次后才触发智能填充。排查建议：检查开发者工具中 password input 的 autocomplete 属性、确认协议/域名一致性、临时禁用扩展验证，并在 chrome://settings/passwords 中确认密码已保存且启用“自动填充密码”。

Answer 1

```html

一、表层现象：Chrome 密码自动填充“失灵”的直观表现

用户反复输入账号密码、点击登录后未触发预填充、地址栏未显示钥匙图标（🔒）、密码字段保持空值且无下拉建议——这些是前端可观察的典型症状。该层级无需技术介入即可复现，但极易被误判为“浏览器 Bug”或“网站问题”。值得注意的是，Chrome 92+ 在地址栏右侧新增了 “密码填充可用性指示器”（需启用 chrome://flags/#password-generation-indicator），为快速定性提供视觉线索。

二、协议与域名一致性校验：HTTPS/HTTP、www 与非 www 的隐式隔离

Chrome 将 https://example.com、http://example.com、https://www.example.com 视为完全独立的源（origin）。密码保存时若为 https://www.example.com/login，而当前访问的是 https://example.com/login，则匹配失败。可通过以下方式验证：

• 打开 chrome://settings/passwords → 搜索域名 → 查看「网址」列是否精确匹配当前页面 URL（含协议、子域、路径前缀）
• 使用 DevTools → Application → Clear storage → 勾选 “Cookies and other site data” + “Cached images and files”，再重新保存一次密码（强制重绑定 origin）

三、HTML 表单语义合规性深度分析

Chrome Autofill 引擎（基于 Autofill Heuristics v3）依赖严格的 DOM 语义信号。关键判定规则如下表所示：

字段类型	必需属性	推荐实践	Chrome 90+ 新增约束
用户名/邮箱	name="username" 或 autocomplete="username"	优先使用 autocomplete="email" 或 autocomplete="username"	必须出现在 <form> 内，且与 password 字段同级或父子嵌套
密码	type="password" + autocomplete 不为 "off" 或 "new-password"	显式设置 autocomplete="current-password"	首次提交前不触发填充；需用户手动提交一次表单（submit 事件）才激活智能填充上下文

四、Chrome 设置与同步账户策略解析

进入 chrome://settings/passwords 后需逐项确认：

• ✅ “自动填充密码” 已开启（开关位于顶部）
• ✅ “提供保存密码” 和 “自动登录” 均启用（二者为独立开关）
• ✅ 右上角 Google 头像显示的账户，与 chrome://settings/passwords 中「已保存密码所属账户」一致（多 Profile 场景下易错）
• ⚠️ 若使用 Chrome Enterprise 策略（PasswordManagerEnabled / AutomaticPasswordSavingEnabled），需检查 chrome://policy 是否被组织策略覆盖

五、扩展程序干扰的诊断与隔离流程

广告拦截器（uBlock Origin）、隐私增强工具（Privacy Badger）、第三方密码管理器（1Password、Bitwarden）常通过以下方式破坏 Autofill：

1. 重写 <input> 的 id/name 属性，切断语义关联
2. 注入 autocomplete="off" 到所有表单字段（历史遗留兼容逻辑）
3. 劫持 submit 事件并阻止默认行为，导致 Chrome 无法捕获“首次提交”信号

推荐排查路径：隐身窗口（无扩展）→ 正常？→ 是 → 逐个禁用扩展验证 → 定位冲突源。

六、开发者工具实战诊断链路（含 Mermaid 流程图）

在 DevTools 中执行结构化排查，顺序不可颠倒：

flowchart TD
    A[打开 DevTools → Elements] --> B[定位 password input]
    B --> C{检查 autocomplete 属性}
    C -->|off 或 new-password| D[网站主动禁用 - 需联系开发方修复]
    C -->|current-password 或 blank| E[检查 type=\"password\"]
    E --> F[检查相邻 username 字段是否存在且语义匹配]
    F --> G[检查 form 元素是否包裹二者]
    G --> H[右键 → Edit as HTML → 临时移除 autocomplete=\"off\" 测试]
    H --> I[刷新页面 → 手动提交一次 → 再次刷新观察填充]

七、服务端与前端协同优化建议（面向全栈工程师）

对于 Web 应用开发者，应规避以下反模式：

• ❌ 在登录表单中全局添加 autocomplete="off"（Chrome 88+ 已忽略，但会触发降级逻辑）
• ❌ 使用 JavaScript 动态生成 input 并延迟设置 type="password"（破坏 DOM 解析时序）
• ✅ 推荐方案：服务端渲染完整表单，明确标注 autocomplete="username" / autocomplete="current-password"，并在 <form> 添加 data-chrome-autofill="true" 自定义标记便于 QA 审计

八、企业级部署中的策略绕过与合规边界

在受管环境（Chrome Browser Cloud Management）中，管理员可通过 Policy 强制启用 Autofill，但需注意：

• PasswordManagerEnabled = true 仅控制 UI 开关，不保证填充逻辑生效
• AutomaticPasswordSavingEnabled = true 影响密码保存，与填充无直接关系
• 真正影响填充的是 AutofillAddressEnabled 和 AutofillCreditCardEnabled —— 虽然命名指向地址/卡信息，但其底层共享同一 Autofill Service 实例，关闭任一可能引发连锁抑制

九、Chrome 版本演进对 Autofill 的架构影响（v85 → v125）

自 Chrome 85 起引入 Autofill Heuristics v2，到 Chrome 94 迁移至 v3（基于机器学习的 DOM 上下文建模），再到 Chrome 115+ 启用 Isolated Autofill Context（每个 iframe 独立填充上下文），其核心变化包括：

• ✅ 更强的跨 frame 表单识别能力（如 SSO 登录弹窗嵌套在主站 iframe 中）
• ⚠️ 对 Shadow DOM 支持仍有限（Web Component 场景下需显式暴露 slot="username" 等语义）
• 🔍 填充日志可通过 chrome://version → “Command Line” 添加 --enable-logging --v=1 启动，查看 Autofill 模块输出

十、终极验证清单（Checklist for Senior Engineers）

当所有常规手段失效，请按此顺序执行原子级验证：

1. ✅ 当前页面 URL 协议、主机、端口、路径前缀与 chrome://settings/passwords 中记录完全一致
2. ✅ DevTools → Elements → password input 的 autocomplete 值 ≠ "off" 且 ≠ "new-password"
3. ✅ 表单存在且包含 <input type="text/email"> 与 <input type="password">，且二者在 DOM 树中距离 ≤ 3 层嵌套
4. ✅ 已在当前页面完成至少一次成功表单提交（非 AJAX 提交，需原生 <form method="POST">）
5. ✅ chrome://flags/#password-generation-indicator 启用后，地址栏右侧出现钥匙图标
6. ✅ chrome://settings/syncSetup/advanced 中确认 “密码” 已勾选同步
7. ✅ 使用 chrome://net-internals/#events 过滤 autofill 事件，观察是否有 AutofillManager::OnQueryFormField 日志

```