是唯一合法且浏览器原生支持的隐藏字段方式，其他css隐藏、type拼写错误或置于外均导致不提交、暴露或降级；必须正确设置小写type="hidden"、匹配后端的name及显式value，且须在内。
input type="hidden 是唯一合法且浏览器原生支持的隐藏字段方式，其他任何 CSS 隐藏（如 display: none）、属性误写（如 type="hide"）或放错位置（如在 <form></form> 外）都会导致字段不提交、被篡改或降级为可见文本框。
必须写对的三个属性：type、name、value
浏览器只认这三个属性组合来决定是否作为隐藏域提交：
-
type="hidden"必须小写、拼写完全正确；写成type="HIDDEN"或type="hide"会降级为type="text"，字段直接暴露在页面上 -
name决定后端接收键名，漏写或大小写/下划线不一致（如前端写user_id，后端读userId），字段就等于没传 -
value必须显式声明，哪怕为空字符串；不写value属性，该字段压根不会出现在 POST 数据里
必须放对的位置：只能在 <form></form> 标签内部
DOM 结构决定提交行为，不是视觉位置：
- 即使
<input type="hidden">紧挨着<form></form>下方，只要不在其开始与结束标签之间，就不会随表单提交 - Bootstrap 的
.input-group容器内可安全嵌入input[type="hidden"]，它不参与渲染，不影响对齐逻辑 - 常见错误：把 hidden 字段写在 JS 模板字符串里却忘了拼进 form HTML，或 Vue/React 中用 v-if 错误地移除了整个节点而非仅控制 visibility
动态赋值必须绑定到 submit 事件，不能依赖页面加载时机
JS 改 value 不是“写了就生效”，而是“提交那一刻值是多少，才传什么”：
- 如果在
DOMContentLoaded时就赋值，但用户后续操作（如切换 tab、选择日期）会让这个值过期，提交的就是脏数据 - 推荐写法：
form.addEventListener('submit', () => { document.querySelector('input[name="timestamp"]').value = Date.now(); }) - 使用 BootstrapValidator 等校验插件时，要手动触发
change事件（.val(newVal).change()），否则它感知不到程序赋值
别把它当安全机制——后端必须重新校验所有 hidden 字段
DevTools 两秒就能改掉 value，攻击者可以任意伪造 user_role、price、is_admin：
- hidden 字段只适合传服务端已确认的上下文（如已鉴权的
session_id、已生成的csrf_token、已选中的order_id） - 权限判断、金额计算、状态流转等敏感逻辑，绝不能依赖前端传来的 hidden 值做决策
- 尤其注意多个同名
name：PHP 会自动转成数组，Flask 默认只取第一个，前后端约定不一致会导致逻辑跳变
