[Nightly] Firefox 55.0a 可体验自动填表功能

Firefox 在 2017 年开发路线图里面就提到会开发新的 Form Autofill（即自动填表）功能。介绍文章参见这里和这里。


简单来说就是 Firefox 会内置填表功能，可以将网络上注册时候所需要填写的一些表单保存为一个个配置。在遇到表单需要自动填入的时候，可以选择预置的配置填写进去。


目前 Firefox 55.0a Nightly 可以初步体验该功能了。





在 Firefox 选项--隐私与安全，可以看到 Enable Profile Autofill，点击 Saved Profiles 可以看到所保存的表单配置，并可以新建和删除配置。


   


不过目前暂时只支持美国的一些名字和地址格式，后续会扩展到其他表单域。


目前所支持的主要功能：
1、只支持美国格式的表单域填写。
2、可在选项中开启和关闭此项功能。
3、只支持具有 @autocomplete 属性的 <input> 表单域，所以可能会有很多网站无法使用。


未来 Nightly会支持的功能：
1、使用启发式分析，实现对不具有@autocomplete 属性的 <input> 表单域的支持，这样大多数网站就都可以使用了。
2、添加配置的对话框目前还是窗口，未来将改成 in-content 内嵌式的。
3、支持 <select> 表单域的下拉菜单。
4、自动保存所提交的表单域，自动填写后如有变更会提示。
5、在表单域下拉菜单选择时可以预览所要填写的内容。
6、UI 语言本地化。


在正式发布前会还会实现的功能：
1、支持信用卡信息填写。
2、可验证和清理更多数据。
3、Firefox 同步表单配置。
4、继续增强启发式分析能力。
5、根据本地化社区反馈添加更多国家的表单类型。
6、支持将数据转换为更多类型。例如电话号码分割为不同的编码。
7、继续改进 UI 显示。
8、添加遥测功能，测量表单数据的准确性。



https://blog.nightly.mozilla.org/2017/05/23/preview-form-autofill-in-firefox-nightly/
https://wiki.mozilla.org/Firefox/Features/Form_Autofill

完善之后还是挺好的功能

感觉好酷！喜欢。

自动填表不是一件好事
错误的实现（绝大多数的实现都是）有很大的安全隐患

https://tech.slashdot.org/story/17/01/09/0521217/browser-autofill-profiles-can-be-abused-for-phishing-attacks
今年一月份的报道

相关的 chrome bug
https://bugs.chromium.org/p/chromium/issues/detail?id=132135
连 Google 员工都表示目前没有好的解决方法

aaaa007cn：https://tech.slashdot.org/story/17/01/09/0521217/browser-autofill-profiles-can-be-abused-for-phishing-attacks
今年一月份的报道

...回到原帖

自动填表功能国内以前很多浏览器都集成了，要说有钓鱼风险也是一开始就有了。不过这功能的确很方便。

fang5566：自动填表功能国内以前很多浏览器都集成了，要说有钓鱼风险也是一开始就有了。不过这功能的确很方便。回到原帖

安全和方便在大多数场合是不能两全的
看开发者怎么权衡了

以前安全意识淡薄（好吧现在也没好多少，比如明文保存密码的，比如某家浏览器无视 HTTPS 证书错误直接加载的）
现在还按以前的经验来做是不行的
不然为什么谋智、Google 要迫不及待杀死 flash、http？

ghacks 和 softpedia 都没有提到这个问题
直到我点开 nightly blog
才在回复里看到有人提到这点
不过谋智有考虑一月份的那个报道
https://bugzilla.mozilla.org/show_bug.cgi?id=1329628
wiki 也有个子页面
https://wiki.mozilla.org/Firefox/Features/Form_Autofill/Privacy_%26_Security_Considerations
虽然我觉得目前的设计方案仍不够好
比如恶意页面表面上只显示需要填写国家、省市，而隐藏了区、街道、门牌、邮编
自动填写只提醒地址的话
还是会在用户未察觉的情况下泄漏隐私信息
就像 Google 员工说的那样，根本没有好的解决方法啊

像这种涉及到安全、隐私的应该在显著位置提醒用户
就像谋智以往一直做的那样

哦对了
顶楼的 wiki 链接错了

最新 Nightly 可以开启对 email，手机号码，用户名和地址的启发式分析。默认为关闭，可在 about:config 将
extensions.formautofill.heuristics.enabled 设置为 true 开启。

https://bugzilla.mozilla.org/show_bug.cgi?id=1349490

添加遥测功能，测量表单数据的准确性
1. 回传什么数据？
2. 能不能关闭？

aaaa007cn：安全和方便在大多数场合是不能两全的
看开发者怎么权衡了

以前安全意识淡薄（好吧现在也没好多少，比如明文保存密码的，比如某家浏览器无视 HTTPS 证书错误直接加载的）
现在还按以前的经验来做是不行的
不然为什么谋智、Google 要迫不及...回到原帖

也就是说，恶意页面可以只显示一个用户名、密码和邮箱地址的表单页面，但是实际上还有一大堆隐藏的地址、邮编、公司、手机号、信用卡号input，也会被自动填充吗？

lord：添加遥测功能，测量表单数据的准确性
1. 回传什么数据？
2. 能不能关闭？回到原帖

目前还没出现，估计是放firefox 遥测功能里面，选项里面关闭遥测功能就可以了。

白左：也就是说，恶意页面可以只显示一个用户名、密码和邮箱地址的表单页面，但是实际上还有一大堆隐藏的地址、邮编、公司、手机号、信用卡号input，也会被自动填充吗？回到原帖

安全性应该是要考虑的吧

白左：也就是说，恶意页面可以只显示一个用户名、密码和邮箱地址的表单页面，但是实际上还有一大堆隐藏的地址、邮编、公司、手机号、信用卡号input，也会被自动填充吗？回到原帖

本帖的 Form Autofill 和 username 用户名、password 密码无关
这俩由 Password Manager 负责的 Logins 处理

about:preferences 中
Form Autofill 放在 privacy 下
而 Logins 放在 security 下

aaaa007cn：本帖的 Form Autofill 和 username 用户名、password 密码无关
这俩由 Password Manager 负责的 Logins 处理

about:preferences 中
Form Autofill 放在 ...回到原帖

嗯，用户名和密码是管理器管理，上面帖子说加入启发式分析的用户名不是登录用户名，而应该只是first name lastname 这样的

fang5566：嗯，用户名和密码是管理器管理，上面帖子说加入启发式分析的用户名不是登录用户名，而应该只是first name lastname 这样的回到原帖

在 thunderbird 中是翻成姓名、名字的