layui表单input禁止输入特殊字符必须用oninput实时过滤，因lay-verify仅提交校验、onkeypress/keydown无法拦截粘贴和ime输入；正则需按业务明确定义允许字符范围并赋值回this.value，动态dom（如表格edit）须在table.on('edit')中处理。
直接结论：layui 表单 input 框禁止输入特殊字符，不能靠 lay-verify 或后端校验“补救”，必须用 oninput 实时过滤；但要注意——所谓“特殊字符”没有统一定义，得按业务明确范围，否则容易误删合法内容（比如用户姓名含「·」、地址含「—」）。
用 oninput + 正则实时清理最可靠
别碰 onkeypress 或 onkeydown，它们拦不住粘贴、拖入、IME 输入（比如中文输入法下敲出的标点），而且 keyCode 判断在不同键盘布局下不稳定。oninput 触发时机覆盖所有输入途径，且兼容 IE10+。
- 正则要写清楚目标：比如只允许字母、数字、中文、空格，就用
/[^a-zA-Z0-9\u4e00-\u9fa5\s]/g；若连空格都不要，就把\s去掉 - 必须赋值回去：
this.value = this.value.replace(...)，只调replace()不赋值等于没做 - Layui 的
form.render()不会重置这个逻辑，但如果你动态启用了编辑状态，得确保事件绑定在 DOM 存在后执行
document.getElementById('userName').oninput = function() {
this.value = this.value.replace(/[^a-zA-Z0-9\u4e00-\u9fa5]/g, '');
};
避免把「中文标点」和「英文符号」混为一谈
中文用户常输「。」、「，」、「？」、「！」、「「」」、「【】」，这些在正则里属于 Unicode 范围，不是 ASCII 符号。如果粗暴用 /[^\w\s]/g，会把中文标点全干掉——而很多业务场景（如备注、描述字段）是允许的。
- 先列清楚哪些真要禁：比如 SQL 相关的
'、;、--、/*，或前端渲染危险的、<code>>、& - 对 HTML 危险字符，建议用更安全的写法：
this.value.replace(/[&"']/g, '')，而不是笼统过滤所有非字母数字 - 中文标点若需保留，正则里显式加上范围：
/[^\u4e00-\u9fa5a-zA-Z0-9，。！？；：""''（）【】《》、\s]/g
别指望 lay-verify 拦输入，它只管提交时校验
lay-verify="required|url|email" 这类内置规则，只在 form.on('submit') 时触发，用户照样能往框里输一堆 !@#$%^&*，直到点提交才弹错——体验差，且起不到“禁止输入”效果。
- 自定义
lay-verify规则（如form.verify({ noSpecial: ... })）也一样，只参与提交校验，不干预实时输入 - 如果想兼顾体验和提示，可配合
oninput清理 +lay-verify做兜底，但别重复写同一套正则逻辑 - 注意：Layui 对
readonly字段仍会执行lay-verify，而disabled字段则跳过——这点容易导致只读字段提交失败
表格 edit 模式下要单独处理
Layui 表格单元格开启 edit: 'text' 后，内部生成的 input 是动态 DOM，直接给原始 HTML 加 oninput 无效。必须监听 table.on('edit(test)') 事件，在里面做校验和重置。
- 用
event.elem.value获取当前输入值，别用$(event.elem).val()（可能取到旧值） - 非法时设回
event.oldValue，不是return false（会中断 layui 内部更新） - 正则别写太宽，比如限制只能输手机号，就用
^1[3-9]\d{9}$，而不是先放行再删——避免用户看到闪烁或卡顿
table.on('edit(test)', function(obj){
if (!/^[\u4e00-\u9fa5a-zA-Z0-9]+$/.test(obj.value)) {
obj.elem.value = obj.oldValue;
}
});
真正难的不是写正则，而是和产品一起确认：哪些字符算“特殊”？用户输错时要不要留提示？后台是否接受这些字符？前端过滤只是体验层辅助，后端该转义还得转义，该参数化还得参数化——别让一个 replace() 给你虚假的安全感。
