Chrome Custom Tab生产环境仅自动填充用户名，staging环境正常的排查求助

1. Chrome对Custom Tabs的自动填充在生产和staging环境是否存在已知差异？ #

Chrome本身没有针对staging/生产环境的差异化自动填充规则，但域名的信任等级、安全策略触发条件可能因域名属性不同导致表现差异：

• 生产域名可能因属于公共域名、安全历史记录或反滥用机制触发更严格的自动填充限制；
• staging域名作为测试域，流量少、无公共安全标记，通常不会触发这类限制。

2. 进一步排查差异的方向 #

• 检查Chrome站点权限与状态：在Chrome地址栏点击锁图标，进入「站点设置」查看密码管理器权限是否被限制；同时确认生产站点无隐性安全警告（如HSTS配置异常、证书链不完整等）。
• 对比HTTP响应头差异：重点核对生产与staging环境的Content-Security-Policy、Permissions-Policy、X-Frame-Options头，排查是否有禁止密码管理器相关的指令，或限制了凭证类权限。
• 验证密码管理器的凭证状态：在Chrome设置→密码管理器中，确认生产域名的凭证未被标记为「从不保存」，且无异常提示；手动尝试重新保存生产环境的登录凭证，测试是否恢复自动填充。
• 检查Custom Tabs的原生配置：虽然前端代码一致，但原生App打开Custom Tabs的参数可能存在差异（如生产环境是否设置了特殊的intent/extras、权限限制），需确认两端的Custom Tabs配置完全一致。
• 对比DOM结构与渲染差异：通过Chrome DevTools对比生产与staging的表单DOM，检查字段的name、autocomplete属性是否一致，表单action是否正确，是否存在打包/缓存导致的DOM篡改。
• 模拟自动填充触发逻辑：在DevTools的「应用」→「密码管理器」中手动触发填充，观察是否有隐藏错误；同时查看网络面板，确认页面加载时无影响密码字段渲染的延迟或异常请求。

3. 可能导致差异的Chrome标志、站点属性或域名信任信号 #

• 域名信任信号：Chrome会根据域名的知名度、Google安全浏览标记、HSTS预加载状态调整信任等级。新上线或低知名度的生产域名可能触发严格限制，而staging测试域通常不会。
• Chrome站点属性：若生产站点被用户手动设置为「从不保存密码」，或被Chrome自动安全机制标记为不可信，会导致密码不填充；可在站点设置中重置生产域名的权限测试。
• 企业级Chrome策略：如果生产环境的Chrome是企业版，可能被管理员配置了限制密码自动填充的策略（如禁用自动提交、限制特定域名的填充），而staging环境不受该策略影响。
• 反滥用机制：Chrome密码管理器内置反滥用逻辑，若生产站点存在频繁登录失败、异常表单提交等行为，会被限制自动填充；staging环境测试流量少，不会触发这类机制。

内容的提问来源于stack exchange，提问作者crispoxide