formaction属性仅对type="submit"的button或input生效，需在form内或通过form属性关联，可配合formmethod、formenctype实现多角色分流，但权限校验必须在服务端完成。
formaction 属性只对 submit 类型按钮生效
很多人误以为 formaction 可以写在任意表单控件上，其实它只对 <button type="submit"></button> 或 <input type="submit"> 有效。其他类型（比如 type="button" 或普通 <div>）加了也没用，点击后不会触发表单提交。
<p>常见错误是给普通按钮加 <code>formaction 还纳闷为什么没跳转——本质是浏览器根本没把它当提交触发器。
-
formaction必须和type="submit"同时存在才起作用 - 按钮必须在
<form></form>内部，或通过form属性显式关联到某个表单 - 如果按钮不在表单内，要用
form="form-id"显式绑定，否则formaction被忽略
不同角色用不同 submit 按钮 + formaction 分流
最直接的做法：为每个角色准备一个独立的提交按钮，各自带不同的 formaction 值。后端不需要改表单结构，只靠前端按钮区分入口路径。
例如管理员走 /api/admin/submit，普通用户走 /api/user/submit：
- 两个按钮共用同一份表单数据，但提交目标 URL 不同
- 后端需分别处理两个 endpoint，权限校验不能只依赖前端 URL，仍需验证 session 或 token
- 若角色由登录态动态决定，可用 JS 切换按钮的
formaction属性，但注意不要绕过服务端鉴权
formaction 和 formmethod、formenctype 配合使用
单独用 formaction 往往不够——比如管理员接口可能要求 PUT 方法，或上传文件需 multipart/form-data 编码。这时要配合 formmethod 和 formenctype。
示例：管理员提交用 PUT，且带文件：
<button type="submit" formaction="/api/admin/upload" formmethod="PUT" formenctype="multipart/form-data"> 管理员上传 </button>
-
formmethod会覆盖表单默认的method，支持GET、POST、PUT、DELETE（浏览器兼容性良好） -
formenctype仅在formmethod="POST"时生效，GET提交无视该属性 - 若后端用 RESTful 设计，
formmethod="PUT"是合理选择，但确保服务端真正接收并解析 PUT 请求体
容易被忽略的兼容性和安全细节
formaction 在所有现代浏览器中都支持（Chrome 12+、Firefox 4+、Safari 5.1+），IE10+ 也支持，基本不用考虑降级。但有三个实际项目里常踩的坑：
- URL 相对路径基于当前页面解析，不是基于
<form></form>的action，容易写错成formaction="admin/submit"导致 404 - 如果用 JS 动态修改
formaction，要确保修改发生在点击前；部分旧版 Safari 对动态设置响应不及时 - 千万别把角色判断逻辑全放在前端——比如隐藏管理员按钮但保留 HTML 代码，或仅靠 URL 区分权限。攻击者可手动构造请求绕过按钮控制
真正关键的分流点永远在服务端：同一个 URL 也能根据 token 解析出角色再路由，formaction 只是提升用户体验的辅助手段，不是权限控制环节。
