formnovalidate与越权校验无直接关系，它仅跳过浏览器原生提交校验（如required、type="email"提示），不影响后端权限控制；越权防护必须由后端严格鉴权实现，前端任何属性均无法替代。
formnovalidate 和越权校验没有直接关系
加 formnovalidate 不会预防、也不影响越权校验。它只控制浏览器是否在点击按钮时弹出原生错误提示（比如红框、气泡提示），和权限逻辑完全无关。越权是后端没做鉴权或前端绕过权限检查导致的，formnovalidate 既不触发也不阻止这类行为。
为什么有人误以为 formnovalidate 能防越权
常见混淆点在于：把“跳过表单验证”等同于“跳过权限检查”。实际上：
-
formnovalidate只影响 HTML5 原生校验（required、type="email"等）的提交拦截 - 权限控制必须由后端实现，前端无论有没有
formnovalidate都能被绕过 - 前端隐藏“删除按钮”或禁用“提交”只是体验层遮掩，不等于权限生效
真正需要关注的越权防护点
如果你在权限系统中用了 formnovalidate（比如草稿按钮），要确保：
- 后端接口对每个操作都校验用户身份和权限，不依赖前端传来的任何“操作类型”字段
- 不要用
formnovalidate配合前端 JS 模拟权限开关——例如“有权限才显示正式提交按钮”，这毫无安全意义 - 即使按钮带
formnovalidate，后端仍需区分“草稿保存”和“正式提交”的权限粒度，不能仅靠路径或参数判断 - 避免在 URL 或 hidden input 中暴露权限标识（如
<input name="op" value="submit_final">），攻击者可篡改
formnovalidate 在权限流程里的合理用法
它唯一合理的角色，是配合权限语义做无干扰提交：
- 当用户点击“暂存草稿”时，你希望绕过
required校验，但后端仍要校验该用户是否有草稿权限 - 多个提交按钮共存时，用
formnovalidate区分行为，但每个对应接口都独立鉴权 - 注意：
formnovalidate按钮提交后，后端不能因为“没校验前端字段”就跳过业务规则检查——比如草稿也得校验邮箱格式，否则脏数据入库
容易被忽略的是：formnovalidate 让你省掉前端校验，但后端反而要更严谨地补上对应场景的字段级和权限级校验。它不是简化安全，而是转移责任。
