安全扫描已将Sonarqube标记为未禁用密码字段上的自动完成属性

声纳qube 5.3

IT部门最近对SonarQube服务器进行的安全扫描表明：

“基于表单的身份验证中未禁用密码的自动完成属性”

我已经在3种不同的浏览器（FF、Chrome、IE 11）中测试过了，它们都没有自动完成密码（尽管FF会自动完成登录id）

• 我可以在SonarQube中配置什么来满足扫描仪的要求吗
• SonarQube是否采取任何其他措施防止自动完成密码，以便将其标记为误报

干杯， 戴夫

扫描仪抱怨此代码：

登录到SonarQube
登录

密码


还记得我在这台电脑上吗


登录

我支持安的问题，你使用了哪种工具

---

我刚刚检查过，SonarQube 5.3在登录页面上有参数autocomplete=off。所以我想知道你是在谈论另一个页面，还是安全扫描的假阳性。

出于好奇，你用什么来做这个安全扫描？而且，5.3已经有将近1.5年的历史了。当前版本是6.3（现在任何一天都有6.4版本），当前LTS是5.6.6。我们正在使用Qualys Enterprise。我用扫描仪标记的代码更新了描述。它与您在登录页面上看到的不同吗？@DavidM确实，您的代码片段中不存在参数

autocomplete=off

。我想知道Qualys Enterprise正在模拟哪个浏览器可能会使此参数不出现（我在这里找到了一些信息：），我将在下周初尝试查看这一点。