是最常用、最直接的隐藏参数传递方式，它不渲染控件但随表单提交 name 和 value，值明文可见且无安全保护，仅适用于传递非敏感上下文信息，敏感数据必须由后端生成、签名并校验。
用 <input type="hidden"> 传递参数但不显示
隐藏表单参数最常用、最直接的方式就是用 <input type="hidden">。它不会渲染出可见控件，但提交时会把 name 和 value 一起发给后端。
注意：这只是“视觉隐藏”，所有值都明文存在于 HTML 源码中，右键查看页面源代码或开发者工具就能看到——它不提供任何安全保护。
-
value必须是确定的字符串，动态值需服务端渲染或 JS 注入（但 JS 注入同样可被调试器捕获） - 不要把密码、token、API key 等真正敏感的数据塞进
value，哪怕只是临时中转 - 常见误用：用它传 session_id 或用户 ID——如果这些 ID 可被预测或重放，攻击者能伪造请求
为什么不能靠前端隐藏来保护敏感数据
浏览器端没有可信执行环境。只要数据出现在 DOM 或网络请求中，就等于公开了。
典型错误场景：
- 用 JS 把密钥拼进
fetch()的 URL 或body中 → 开发者工具 → Network 标签页一眼可见 - 把加密密钥写死在
<script></script>里 → 源码可读，且现代 JS 反混淆工具能快速还原 - 用
display: none或visibility: hidden包裹<input type="text">→ DOM 仍存在，且容易被脚本读取
真正该保护的参数，得从服务端控制流转
前端能做的，只是配合后端完成“上下文传递”；真正的权限校验、参数有效性验证、敏感字段过滤，必须在服务端做。
- 需要隐藏的参数（如订单 ID、用户角色），应由后端生成并签名，前端只传回一个不可篡改的
token（如 JWT 或 HMAC 签名字符串） - 表单提交前，用后端颁发的一次性
csrf_token字段防伪造，而不是试图隐藏业务参数 - 涉及权限的操作（如删除他人订单），后端必须重新查库确认当前用户是否有权操作该
order_id，绝不能信任前端传来的任何 ID
如果非要在前端“模糊处理”，优先选服务端模板注入
比起让 JS 动态写入或暴露在 HTML 中，更稳妥的做法是服务端直接输出已计算好的隐藏字段。
例如 Django 模板：
<input type="hidden" name="redirect_hash" value="{{ redirect_url|urlencode|sha256 }}">
或 Node.js + EJS：
<input type="hidden" name="nonce" value="<%= crypto.randomBytes(16).toString('hex') %>">
关键点：
- 哈希、随机数、签名等操作必须在服务端完成，避免客户端参与
- 不要在前端用
Math.random()或简单 base64 编码代替加密——它们毫无安全性可言 - 即使做了哈希，也要配合服务端验证，否则哈希值本身可能被重放
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
