必须置于 内，设置合法 name 和动态/静态 value，禁用敏感信息硬编码；css 隐藏不可替代，因其语义错误且存在验证与可访问性风险。
怎样用 <input type="hidden"> 传递参数
直接用 <input type="hidden"> 即可，它不渲染可见控件，但会随表单一起提交。关键不是“怎么写”，而是“写在哪”和“值从哪来”——必须在表单（<form></form>）内，且 name 和 value 都得有，否则后端收不到。
-
name必须唯一且有意义（如user_id、csrf_token），后端靠它取值 -
value要提前确定：可以是静态字符串，也可以由 JS 动态写入（比如从 URL 参数或 localStorage 读取） - 不要把敏感数据（如密码、密钥）硬编码进
value，hidden 字段完全可被用户查看和修改
为什么 display: none 或 visibility: hidden 不行
用 CSS 隐藏普通 <input type="text"> 看似效果一样，但风险高得多：
- 表单验证可能仍会触发（比如
required属性不会因隐藏而失效） - 某些浏览器或辅助工具可能忽略 CSS 隐藏但仍尝试聚焦或读取该字段
- 语义错误：
type="hidden"明确告诉浏览器“这个字段不参与交互”，而 CSS 隐藏只是视觉遮盖 - 如果 JS 后续要操作该字段，用
type="hidden"更安全——它的 DOM 接口行为稳定，不会意外触发输入事件或样式重排
常见错误：提交时后端收不到 hidden 字段的值
90% 是因为这几个低级但难排查的问题：
- 字段不在
<form></form>标签内部（比如写在 form 外、或嵌套在另一个未闭合的标签里） -
name拼错或含空格/特殊字符（如name="user id"→ 后端收到的是user键，id被截断） - JS 设置
value的时机太早（DOM 还没加载完），或写错了元素选择器（比如用getElementById但 ID 拼错） - 表单用了
method="get"，但 hidden 字段的value包含未编码的特殊字符（如&、=），导致 URL 解析失败
JS 动态设置 hidden 字段值的可靠写法
别依赖 document.write 或内联 onload，优先用 DOMContentLoaded 或直接放 script 在 form 下方：
注意：如果页面有多个 hidden 字段，别用 getElementsByName —— 它返回 NodeList，容易漏掉索引；用 getElementById 或带 [name="xxx"] 的 querySelector 更稳。
真正麻烦的从来不是加一个 hidden 字段，而是确保它的值在提交那一刻是最新、合法、且没被绕过校验的。尤其是涉及权限或状态标识时，前端 hidden 只是传参通道，后端必须重新校验其有效性。
