安全写法是后端模板渲染时注入唯一token，如，且需配合服务端校验、短时效、防xss等完整机制。

hidden input 里放 CSRF token 怎么写才安全

直接用 <input type="hidden"> 存 token 是常见做法，但光写对标签远远不够——token 必须由后端生成、每次请求唯一、且不能被前端随意覆盖或泄露。

CSRF token 必须从服务端注入，不能前端生成

浏览器里用 JS 拼个随机字符串塞进 <input name="csrf_token" type="hidden" value="xxx"> 完全无效。攻击者可伪造整个表单，只要服务端没校验来源和时效性，就形同虚设。

• token 应由后端模板（如 Jinja2、Thymeleaf、EJS）在渲染页面时填入 value 属性，例如：

  <input type="hidden" name="csrf_token" value="{{ csrf_token }}">

• 若用 AJAX 提交，需额外通过 HTTP header（如 X-CSRF-Token）传 token，不能只依赖 hidden input
• 避免把 token 放在 URL 参数或 cookie（除非标记为 HttpOnly 且配合 SameSite）

name 和 value 值必须与后端校验逻辑严格匹配

很多框架（Django、Flask-WTF、Spring Security）默认检查特定字段名。写错一个字母，比如把 csrf_token 写成 _csrf，后端直接拒绝请求，但错误提示常不明确。

html-ppt-to-pdf

将使用 `

` 约定的 HTML 幻灯片转换为高保真、矢量文本 PDF（使用 Playwright + Chromium 原生 PDF 功能）。

下载

• Django 默认用 csrfmiddlewaretoken 作 name，value 是 get_token(request) 返回的值
• Flask-WTF 表单类会自动渲染 <input type="hidden" name="csrf_token" value="...">，不要手动重写
• Spring Security 默认检查 _csrf 字段，需确保 Thymeleaf 的 th:field="*{_csrf}" 或手动写对 name

hidden input 不防 XSS，token 泄露风险依然存在

<input type="hidden"> 只是视觉隐藏，DOM 里完全可见。如果页面存在 XSS 漏洞，攻击脚本能轻易读取 document.querySelector('[name="csrf_token"]').value 并发给第三方。

• 务必对所有用户输入做转义，尤其渲染到 HTML 前（如用 或框架内置过滤）
• 设置 Content-Security-Policy 头限制 script 加载源，降低 XSS 影响范围
• token 应设置短过期时间（如 1 小时），并绑定 session ID 或 IP（视业务敏感度权衡）

真正起作用的不是那个 hidden 标签本身，而是它背后的服务端校验逻辑是否健全、token 生命周期是否受控、以及整个链路有没有其他漏洞可绕过。

前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！