html注释唯一合法写法是，禁含--或>、不可嵌套，仅对html解析器生效，不执行代码、不参与dom构建，仅作开发者说明用。
HTML 注释不是“隐藏代码”的手段，而是给开发者看的纯文本说明；它不执行、不参与 DOM 构建，但会出现在源码里——所以别往里面塞敏感逻辑或 JS 代码。
注释标签怎么写才不会出错
必须用 <!-- 开头、--> 结尾，中间不能出现 --（两个连续短横线），也不能嵌套另一个 <!--。
- ✅ 正确：
<!-- 用户登录表单开始 --> - ❌ 错误：
<!-- <!-- 旧版兼容逻辑 --> 主逻辑 -->→ 第一个-->就结束注释，后面内容暴露为 HTML - ⚠️ 危险：
<!-- <script>alert(1)</script> -->→ 看似“隐藏”，实则整段被当文本丢进 DOM，无任何执行，但可能干扰调试或被误读 - 结构锚点：
<!-- ? API 请求入口 --> - 修改备注：
<!-- 2026-05-27 @zhangsan：修复 token 过期跳转逻辑 --> - 临时禁用：
<!-- <div class="banner">...</div> -->（注意：只适用于简单 HTML 片段，复杂嵌套易出错） - ❌ 避免：
<!-- 当前用户 ID: <%= user.id %> -->→ 模板引擎可能执行，但这是服务端行为，不是 HTML 注释本身的能力 -
<!-- <input type="hidden" name="token" value="abc"> -->→ 这个 input 根本不会生成 DOM 节点，后端收不到 -
<input type="hidden" name="token" value="abc">→ 正常提交，value 可被用户查看/篡改，但语义正确 - 用 JS 动态设值：
document.getElementById('token').value = getCsrfToken()→ 值在运行时注入，更可控 - 注释里写 JS 变量或函数名（如
<!-- const API_BASE = 'https://api.example.com' -->）→ 对运行无影响，仅作参考，别指望它被读取或复用 - html-minifier 默认保留注释，加
removeComments: true才删 —— 上线前务必确认配置 - Django 模板中
<!-- {% now "Y-m-d" %} -->→{% now %}仍会被渲染，这不是 HTML 的行为，是模板提前求值 - VS Code 或 WebStorm 不高亮嵌套注释，靠肉眼很难发现
<!-- <div><!-- inner --> ... -->这类错误
注释里能放哪些开发信息
适合放结构标记、修改记录、协作提示等静态说明，不建议放动态值或逻辑判断。
为什么注释不能替代 type="hidden" 或 JS 控制
注释是解析器层面的忽略，而 type="hidden" 是表单语义的一部分，JS 控制的是运行时状态——三者目的完全不同。
容易被忽略的细节
注释在压缩、构建、服务端包含等环节可能被意外处理，尤其当项目用了 html-minifier、Webpack 插件或 Django/EJS 模板时。
