PHP注册表单提交时POST密码被替换为已保存密码的问题

问题现象 #

使用HTML/PHP搭建的注册表单，提交时输入的密码被替换为已保存的cPanel密码，导致密码匹配验证失败：

• 输入密码为Alex时，POST的pwd字段值为H9wL^X938*i（cPanel密码），passwordconfirm字段值为Alex
• 错误日志显示：[22-Nov-2023 15:59:09 Australia/Sydney] password invalid: H9wL^X938*i,Alex
• 已尝试给表单设置autocomplete="off"，给密码字段设置autocomplete="new-password"，但无效

解决方案 #

1. 修改密码字段的name/id为独特值 #

浏览器会通过字段的name/id匹配已保存的密码，使用非通用的命名可以避免误匹配：

<!-- 修改后的密码字段 -->
<label>Password: </label>
<input type="password" autocomplete="new-password" id="signup_user_pwd" name="signup_user_pwd"></br></br>
<label>Confirm Password: </label>
<input type="password" autocomplete="new-password" id="signup_user_pwd_confirm" name="signup_user_pwd_confirm"></br></br>

对应的PHP验证代码同步修改：

$password = $_POST["signup_user_pwd"];
$passwordconfirm = $_POST["signup_user_pwd_confirm"];

2. 添加隐藏的诱饵密码字段 #

浏览器会优先填充隐藏的密码字段，从而保护真实字段不被自动填充：

<!-- 在真实密码字段前添加隐藏诱饵 -->
<input type="password" style="display: none !important;" name="fake_password" autocomplete="off">
<input type="password" style="display: none !important;" name="fake_password_confirm" autocomplete="off">

<!-- 真实密码字段保持不变 -->
<label>Password: </label>
<input type="password" autocomplete="new-password" id="pwd" name="pwd"></br></br>
<label>Confirm Password: </label>
<input type="password" autocomplete="new-password" id="passwordconfirm" name="passwordconfirm"></br></br>

必须添加!important确保字段完全隐藏，避免浏览器渲染后被填充。

3. 动态设置autocomplete属性 #

部分浏览器对页面加载后设置的autocomplete属性识别更准确，用JS实现：

document.addEventListener('DOMContentLoaded', function() {
  const pwdInput = document.getElementById('pwd');
  const confirmInput = document.getElementById('passwordconfirm');
  pwdInput.setAttribute('autocomplete', 'new-password');
  confirmInput.setAttribute('autocomplete', 'new-password');
});

4. 清理浏览器已保存密码 #

让测试用户检查浏览器的密码管理器，删除当前域名下保存的cPanel密码，或者使用隐私窗口测试，排除本地缓存的影响。

原因分析 #

浏览器的自动填充逻辑会优先匹配当前域名下已保存的密码，当表单密码字段的name/id包含pwd、password等通用关键词时，容易被识别为需要填充的登录密码字段。用户之前在该域名下登录cPanel时保存的密码，被浏览器错误填充到了注册表单的密码框中，即使设置了autocomplete="new-password"也无法完全阻止这种匹配。

内容的提问来源于stack exchange，提问作者Astronaut