JavaScript 可以访问自动填充的密码吗？这是否会带来安全风险？我知道存储的密码通常与域严格关联，但如果 Chrome 目前没有存储该域的密码，有时 Chrome 会建议其他网站的用户名和密码。
（我猜这可能因浏览器而异）
【问题讨论】：
标签： javascript security passwords autofill
Chrome 在两种情况下自动填充详细信息：
虽然这些字段可以通过 JavaScript 读取，但如果没有用户的明确指示，它们不会被填充。
这确实增加了风险级别，因为用户可能会不小心错误地确认数据，级别被认为是低的。
【讨论】：
使用 javascript 在本地存储密码绝对是可能（并且可行）的。
这是因为 javascript 本身就是一种面向客户端的语言。
例如，如果您编写了一些 javascript 来更改输入字段的属性，使得“type='password'”改为“type=''”，那么密码将显示在用户浏览器上，没有阻塞 blob。
使用 javascript，您还可以获取密码字段提供的值，无论它是否被删除。
这并不是一个安全漏洞，因为它实际上只能在客户端机器上使用，并且现代浏览器中内置的各种技术在保护此类内容方面做得相当不错。
这也是最好跟上最新的安全软件和补丁的原因。
举个例子。如果您在用户提交密码之前使用类似于 localstorage.setitem() 的方法在他们的机器上存储密码，那么密码将以纯文本形式保留在他们的机器上。
但是，您也可以设计一个 Web 应用程序来通过 http 请求发送用户密码。
但是，在实践中，这很容易被用户查看，并且更有可能被多个来源标记（问题）。
【讨论】：