hidden字段value只能是字符串，复杂数据须用json_encode()序列化并htmlspecialchars()转义，服务端需json_decode($str, true)解析并校验结构，敏感数据不可依赖前端传值。
hidden 字段的 value 只能是字符串，复杂数据必须序列化
浏览器根本不认数组、对象或布尔值——value 属性强制转成字符串再提交。直接写 <input type="hidden" name="cart" value="<?php echo $cart_array; ?>"> 会得到空串或 Array 字符串，后端拿不到结构。
正确做法是用 json_encode() 把 PHP 数组转成 JSON 字符串，并用 htmlspecialchars() 转义双引号和尖括号：
<input type="hidden" name="cart_data" value="<?php echo htmlspecialchars(json_encode($cart_items), ENT_QUOTES); ?>">
- JSON 是唯一被广泛支持的跨语言序列化格式，JS 和 PHP 都原生支持
JSON.parse()/json_decode() - 别用
serialize()或print_r()，前者是 PHP 特有、不兼容前端，后者输出的是调试文本，不是可解析结构 - JSON 不支持 PHP 的资源、闭包、对象方法，只适用于纯数据（关联数组、数字、字符串、布尔、null）
同名多个 hidden 字段自动合并为数组，但仅限简单值
如果页面里写了两个 <input type="hidden" name="tag">，PHP 会把它们合成 $_POST['tag'] 数组，顺序按 DOM 出现位置。但这只适用于扁平字符串值，比如标签名、ID 列表。
想传多个结构化对象？不能靠重复 name="item"，因为 json_encode() 后的字符串会被当做一个整体，不会自动拆解。
- 要传多个商品项，应把整个数组一次性序列化进一个字段：
name="items_json" - 若硬要用多个字段，得手动加索引：
name="items[0][id]"、name="items[0][qty]"……但这样服务端解析麻烦，且易出错 - 注意：HTML 不校验 name 语法，
name="data[foo][bar]"虽然 PHP 能自动展开，但 JS 操作时需用querySelector('input[name="data[foo][bar]"]')，方括号要转义或用属性选择器
JS 动态注入复杂状态时，必须等 DOM 就绪且避开框架响应式陷阱
常见错误是脚本执行太早，或 Vue/React 渲染后覆盖了你手动写的 value。
- 不要把 JS 放在
里操作document.getElementById("state")—— 元素还没生成 - 改用
DOMContentLoaded或把<script></script>放在前 - 在 Vue 中，别直接
el.value = JSON.stringify(data)，应绑定到v-model或用ref更新；React 同理，走 state + useEffect - 异步获取状态（如从 localStorage 读购物车）时，确保表单提交前已完成赋值：监听
submit事件，在event.preventDefault()后更新再form.submit()
服务端还原 JSON 必须设第二个参数为 true，且检查解析结果
json_decode($_POST['cart_data']) 默认返回 stdClass 对象，不是数组，PHP 中用 $arr['key'] 会报错。
- 务必加第二个参数：
json_decode($_POST['cart_data'], true)才得到关联数组 - 必须检查返回值是否为
null：JSON 解析失败（比如用户篡改了引号）时返回null，直接用会触发 notice - 验证结构：即使解析成功，也要确认键是否存在、类型是否符合预期，比如
isset($data['items']) && is_array($data['items']) - 敏感字段（如价格、数量）仍需服务端二次查库比对，隐藏域只传 ID，不传计算结果
value 后没做 htmlspecialchars()，导致双引号破坏 HTML 结构，整个字段被截断或解析失败；还有人以为 JS 更新了 hidden 值，后端就一定能收到，却忘了 submit 事件里没阻止默认行为，表单已提前发出旧数据。前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
