自动完成的安全风险

Question

我听说过一些网站具有不可见的自动完成字段，因此当用户使用自动完成功能时会捕获额外信息（例如，隐藏地址字段，仅使用自动完成填充）。

当阅读的答案，以我能力谷歌浏览器记住密码？我想知道这是否会让您面临其他网络钓鱼诈骗或其他隐私/安全漏洞，否则就不会成为问题。

Answer 1

您提到的功能是自动填充，但通常在网页上称为自动完成（表单）。

这使用表单中的字段名称来标识要填写的内容。如果“流氓”页面决定根本不呈现此字段，您可能会错过看到它。但是，在大多数方法中，自动化使用诸如域名之类的详细信息来键入字段（它不会仅仅因为您具有相同的用户名而跨站点使用相同的密码）。

话虽如此，首先不要让此类自动化机制记住关键密码（例如，您的银行）是个好主意。有很多方法可以从浏览器中劫持此类数据，所有这些都取决于当前可用的漏洞。

示例：在 lastpass 中使用自动填充。
^{你仍然可以选择不使用它作为你的关键密码——美国运通示例无论如何}

根据评论更新。
自动化通常对网络钓鱼尝试有更好的区分，因为它不仅限于人类模式匹配故障。但是，我想我们都明白这一点。这给我们留下了表单自动完成部分——让我指向这个关于关闭表单自动完成的mozilla 页面。只是不要使用它:-)
我认为该lastpass方法会相对更合适。