唯一可靠防重复提交的方法是监听form submit事件动态禁用按钮并配合后端生成的一次性submit_token隐藏字段；disabled属性静态设置无效，HTML无原生防重属性，内联onclick禁用存在兼容与维护问题。
HTML disabled 属性本身不能防止重复提交
直接在按钮上写 disabled="disabled" 或用 HTML 属性静态禁用，只会在页面加载时生效，对用户点击毫无作用。表单提交是动态行为，disabled 必须由 JavaScript 在 submit 事件中动态设置，否则用户点多少次都照常触发请求。
form 元素没有防重属性，别指望 autocomplete 或 novalidate
HTML 标准里没有任何原生属性（如 prevent-duplicate、once、data-prevent-replay）能拦截重复提交。像 autocomplete="off" 只影响输入建议，novalidate 仅跳过浏览器内置校验——它们和请求是否发两次完全无关。
唯一能靠 HTML 配合实现的，是隐藏域传 submit_token
真正起作用的 HTML 部分，只有把服务端下发的一次性 token 塞进隐藏字段：
<input type="hidden" name="submit_token" value="f8a2e7d1-9c4b-4f0a-b3e5-1a2c3d4e5f6g">
这个字段本身不防重，但它让前端无需额外 JS 就能把 token 随表单自动发出。关键点在于：
立即学习“前端免费学习笔记（深入）”；
- token 必须由后端生成，绑定当前 session 和表单类型，不能前端 Math.random() 拼一个
- value 值必须每次页面加载都刷新，不能缓存或复用
- 前端不操作该字段，全靠 form 默认提交机制带出；若改用
fetch提交，得手动取document.querySelector('[name="submit_token"]').value
别用 onclick 写内联 JS 禁用按钮
像这样写：<button onclick="this.disabled=true; submitForm()">提交</button>
看着省事，但问题一堆：
- 无法捕获回车触发表单提交（
submit事件没被监听） - 多个提交按钮时，只禁了当前这个，漏掉其他
type="submit"元素 - 失败后不会自动恢复按钮，用户卡死在“已禁用”状态
- 违反关注点分离，逻辑混在 HTML 里难维护、难测试
真正可靠的入口只有一个：监听 form 的 submit 事件，统一处理所有提交路径。
