type="hidden"字段必须带name属性才能提交，仅设value无效；name决定键名且需与后端接收名一致；hidden属性与type="hidden"功能不同，不可混用；value须转义防xss；服务端校验为强制前提。
type="hidden" 字段必须带 name 才能提交
浏览器只认 name 属性决定是否提交、提交成什么键名。漏写 name，哪怕写了 value，这个字段压根不会出现在 POST 数据里。
常见错误：<input type="hidden" value="123"> —— 提交后后端收不到；<input type="hidden" name="user_id" value="123"> —— 才是正确写法。
- PHP 读
$_POST['user_id']，Flask 读request.form.get("user_id")，键名必须完全一致 - 多个同名
name（如两个name="tag"）会全部提交，PHP 自动转数组，Flask 默认只取第一个，得提前约定接收逻辑 - 框架项目（Vue/React）别直接操作 DOM 的
value，走响应式绑定，否则可能被视图更新覆盖
hidden 属性和 type="hidden" 完全不是一回事
hidden 是通用 HTML 布尔属性，作用于任意元素（<div hidden>、<code><tr hidden>），控制渲染与可访问性；<code>type="hidden" 是表单控件类型，专用于提交数据。
混用容易出问题：比如给 <section hidden></section> 包着的 <input type="hidden"> 加了 disabled，那它就彻底不提交了；或者误以为 <input hidden name="token"> 还能提交——其实它在 FormData 或原生 submit 中完全消失。
-
hidden属性生效只看是否存在，hidden="false"依然隐藏 - IE 不支持
hidden，需回退到style.display = 'none' - 动态控制用
el.hidden = true，别用setAttribute('hidden', '')，后者在旧 Safari 有兼容问题
多页表单中 hidden 字段必须逐页显式重写
它不会自动流转。page1 提交了 order_id，page2 收到后若只是跳转到 page3，不做任何处理，page3 的 $_POST 就为空。
正确做法是：page2 的表单里必须再写一行 <input type="hidden" name="order_id" value="<?php echo htmlspecialchars($_POST['order_id'] ?? ''); ?>">。
- 每个要传递的字段都得单独写一行
<input type="hidden">，不能合并或省略 -
value必须用htmlspecialchars()转义，防 XSS，尤其当原始值来自用户输入时 - 别用 JS 拼 URL 跳转传数据——GET 参数暴露在地址栏、日志、代理缓存里，且有长度限制；POST + hidden 更隐蔽、更稳定
- 不要往 hidden 字段塞 base64 图片或大段 HTML，容易超
post_max_size限制
JS 动态赋值必须在 submit 前完成
如果靠 change 事件更新 <input type="hidden" name="timestamp">，但用户直接点提交按钮没触发 change，就会提交空值或旧值。
推荐统一在 form.onsubmit 开头做最终同步：
form.addEventListener('submit', function(e) {
document.querySelector('input[name="timestamp"]').value = Date.now();
});
- 别把脚本放
里就直接操作 DOM——元素可能还没加载；用DOMContentLoaded或把<script></script>放在前 - 写错大小写（
type="HIDDEN"）或拼成type="hide"，浏览器会降级为type="text"，字段意外显示出来 - 敏感信息（如 token、密码、价格）绝不能放这里——DevTools 两秒就能改，它只是传输载体，不是保险柜
最常被忽略的一点：hidden 字段的 value 可以被任意篡改，服务端校验不是可选项，而是强制前提。前端写得再严丝合缝，只要没在后端验证，就等于没设防。
