HTML表单不加密，必须依赖HTTPS传输保护；autocomplete属性需合理设置以控密码填充；前端校验无效，后端须严格验证；文件上传要查Content-Type和文件头；所有输入须防XSS；CSRF令牌必用且动态生成。
HTML表单本身不加密，靠HTTPS兜底
HTML <form></form> 标签只是数据容器，不自带加密能力。用户输入的密码、身份证号等明文会以原始形式提交——只要传输层没保护，中间人就能截获。所以关键不是“怎么让表单加密”，而是“确保提交走 HTTPS”。检查地址栏是否为 https://，且服务器返回的 Strict-Transport-Security 响应头有效。HTTP 页面里混用 HTTPS 表单（action="https://..."）仍可能被篡改或降级，浏览器也会标“不安全”。
autocomplete="off" 不阻止密码保存，但能减少自动填充风险
很多开发者以为加了 autocomplete="off" 就能防密码泄露，其实现代浏览器（Chrome、Firefox）会忽略它，尤其对 <input type="password">。真正起作用的是更细粒度的控制：
-
autocomplete="new-password"：提示浏览器这是新密码字段，避免填入旧密码 -
autocomplete="one-time-code"：用于短信验证码，禁用密码管理器填充 - 敏感字段（如银行卡号）配合
autocomplete="off"+ 随机name和id（如name="card_num_7f2a"），可降低被脚本批量提取的概率
前端校验纯属体验优化，后端必须重验
用 required、pattern 或 JavaScript 拦截空提交，只能防止用户手误，不能防攻击。绕过前端校验太容易了：禁用 JS、用 curl 提交、抓包改请求。后端必须独立验证所有字段：
将 Markdown 文章转换为微信公众号兼容的纯 HTML 格式。当用户要求"转成微信格式"、"生成公众号文章 HTML"、"排版到微信草稿箱"、"微信粘贴格式"时触发。输出带内联样式的纯 HTML，微信编辑器可直接渲染，无需额外适配。支持标题、段落、列表、粗体、行内代码、表格、引用块、代码块、配图的完整转换。
-
email字段不能只靠正则，要发验证邮件并比对 token -
phone字段需匹配国家码+长度，再结合短信/语音二次确认 - 上传文件必须检查
Content-Type+ 文件头（magic bytes），不能只看扩展名 - 所有字符串输入要过滤或转义特殊字符（如
、<code>"、'），防止 XSS 注入到页面回显中
CSRF 令牌不是可选项，是必填项
没有 CSRF token 的表单，攻击者可以诱导用户点击恶意链接，悄悄提交数据（比如改密码、转账）。实现很简单：后端生成一次性的 csrf_token，嵌入表单隐藏域；提交时后端比对 session 中存储的值。常见错误包括：
- token 存在客户端本地存储（
localStorage），易被 XSS 窃取 - token 过期时间过长（>2 小时），或未绑定用户 session
- 忘记在 AJAX 请求头中带上
X-CSRF-Token（如 Vue + Axios 场景） - 静态 HTML 表单硬编码 token，导致多人共用一个失效 token
最稳妥的做法是每次页面加载都由后端渲染动态 token，且仅限本次请求有效。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
