JavaScript可以访问自动填充的密码吗？

Question

JavaScript可以访问自动填充的密码,这被认为是安全风险吗？我知道存储的密码通常与域严格关联,但有时Chrome会建议其他网站的用户名和密码,如果它没有此域的当前存储密码.

(这可能因浏览器而异,我猜)

Answer 1

Chrome 在两种情况下自动填充详细信息：

1. 当明确告知要记住特定站点的凭据时
2. 当它看到字段时，它认为它可以自动填充并且用户接受建议的值（并且这些值不会是密码）

虽然这些字段可以通过 JavaScript 读取，但如果没有用户的明确指令，它们不会被填充。

这确实增加了风险级别，因为用户可能无意中错误地确认了数据，因此风险级别被认为较低。