html表单无实质安全能力，真正防护靠服务端强制校验；密码字段须用type="password"配autocomplete="current-password"或"new-password"，禁用css模拟与autocomplete="off"。
HTML表单本身不提供任何实质安全能力，所谓“提高录入安全性”本质是防止恶意数据进入后端、避免XSS或CSRF等攻击面暴露。所有前端措施都只是辅助，真正起效的必须是服务端强制校验与清理。
type="password" + autocomplete 属性怎么配才不翻车
单纯写 type="password" 只隐藏字符，但浏览器仍可能把其他网站的密码错填进你的邮箱字段；autocomplete="off" 在现代浏览器里基本失效，还可能干扰密码管理器生成强密码。
- 登录页密码字段用
autocomplete="current-password" - 注册或改密页用
autocomplete="new-password" - 非密码字段（如手机号）若想防 autofill，可设
name="phone_random123"，后端映射回真实字段名 - 别用 CSS 遮盖模拟密码框——它既不触发浏览器密码处理逻辑，也不阻止复制粘贴原始值
CSRF token 必须嵌入且每次刷新
没有 csrf_token 的表单，等于在登录页放了个转账按钮给攻击者随便点。前端只负责传，后端必须校验、绑定 session、限时过期。
- 后端渲染时写入：
<input type="hidden" name="csrf_token" value="a1b2c3d4"> - 该值不能硬编码、不能存 localStorage、不能 JS 里拼接生成
- 每次页面加载都要刷新 token，过期时间建议 ≤15 分钟
- AJAX 提交也要从 DOM 里取最新值，不能缓存一份复用多次
用户输入直接插入 HTML 就是 XSS 入口
哪怕你前端做了正则校验，只要后端把 username 原样插进 innerHTML 或模板里没转义，攻击者提交 <script>alert(1)</script> 就能执行。
- PHP 用
htmlspecialchars($input, ENT_QUOTES, 'UTF-8') - Python 用
html.escape(input, quote=True) - Node.js 推荐
he.escape(input)（不是escape-html那个轻量版） - 绝对不要自己写正则替换
和 <code>>—— 编码绕过太容易，比如<script></script>
文件上传的 accept 和前端校验全是摆设
accept=".pdf" 和 JS 里的 file.type === 'application/pdf' 都能被轻易绕过。攻击者用 curl 发个伪造请求，Content-Type 和文件头随便改。
- 后端必须读文件前几百字节，用
file-type（Node）、python-magic（Python）等库查真实 MIME - 保存路径必须用
path.resolve(uploadDir, filename)校验是否落在允许目录内，防止../.htaccess - 上传后的文件名要重命名（UUID 或时间戳 + hash），原始名只存数据库，不用于路径拼接
- 上传目录禁止 Web 直接访问，下载走代理脚本（如
/download?id=abc123）
最常被忽略的点：action 和 method 不校验。如果 action 是拼接的 URL 或来自 query 参数，攻击者就能把表单 POST 到任意地址；method 若没显式声明为 POST，默认可能是 GET，密码就明文出现在日志和浏览器历史里。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
