HTML中设置输入框默认值唯一标准是使用value属性，placeholder仅作提示不参与提交；需注意类型格式要求、XSS防护及DOM操作正确方式。
input value属性写死默认值最直接
html里设输入框默认文本，value 属性是唯一标准做法。浏览器加载时会自动把该值填进框内，用户可编辑、可清空、可提交——它就是表单字段的初始值。
常见错误是误用 placeholder：它只是提示文字，不参与表单提交，且焦点进入后就消失，不能替代默认值。
-
<input type="text" value="张三">—— 页面一打开就显示“张三”，提交时也会带上这个值 - 如果后端返回了用户数据，直接把变量插进
value里：<input value="{{ user.name }}"> - 注意 HTML 特殊字符要转义，比如
value="O'Reilly"，否则引号会提前截断属性
动态改默认值得用 JavaScript 的 value 属性
页面加载后想改默认值（比如从 localStorage 恢复上次输入），不能只改 value 属性，得操作 DOM 元素的 value 属性（不是 HTML 属性）。
容易踩的坑：用 setAttribute('value', 'xxx') 看似生效，但后续用户输入再提交，可能还是旧值——因为表单控件的当前值和 HTML 属性已脱钩。
- 正确写法：
document.getElementById('name').value = '李四' - 如果用 jQuery：
$('#name').val('李四')，它内部也是操作原生value属性 - 在
DOMContentLoaded后执行，避免元素还没挂载
type="date" / "number" 等类型对 value 格式有硬性要求
不同 type 的 input 对 value 内容格式敏感，错一点就变为空白或回退到 placeholder。
比如 type="date" 必须是 YYYY-MM-DD 格式字符串，new Date().toISOString().split('T')[0] 是安全生成方式；type="number" 的 value 只能是数字字符串，不能带单位或逗号。
-
<input type="date" value="2024-05-20">✅ -
<input type="date" value="20/05/2024">❌ 浏览器忽略，显示为空 -
<input type="number" value="1,234">❌ 渲染为空，控制台可能报 warning
服务端渲染时 value 值别被 XSS 注入
如果默认值来自用户输入（比如编辑页回显），直接拼接 value="xxx" 极易触发 XSS。必须对内容做 HTML 属性转义，而不是仅转义尖括号。
例如原始值是 "><script>alert(1)</script>，只转义 和 <code>> 不够，双引号本身就会提前闭合 value= 属性。
- Node.js 中可用
he.escape(value, { isAttributeValue: true }) - PHP 用
htmlspecialchars($value, ENT_QUOTES, 'UTF-8') - Python Jinja2 默认开启 autoescape，但需确认模板中没用
|safe绕过
这个点常被忽略：前端开发者觉得“只是个默认值而已”，但攻击者只要能控制这个字段的初始内容，就能在用户打开页面瞬间执行任意脚本。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
