是唯一合法隐藏域，必须设type="hidden"、非空name、字符串value；value需转义，复杂数据用json_encode/json_decode；同名多字段自动为数组；值可被篡改，服务端须校验。
<input type="hidden"> 是唯一合法且直接可用的方式，其他如 display: none 或 visibility: hidden 的普通表单控件**不算隐藏域**，它们仍可能被提交、校验或意外暴露。
必须设置的三个属性：type、name、value
浏览器只认 type="hidden" 才触发“隐藏域”行为；name 决定服务器端接收到的键名（如 $_POST['user_id']）；value 是实际传递的值，必须是字符串——哪怕你想传数字或布尔值，也得先转成字符串。
-
type必须写死为"hidden"，大小写敏感，"HIDDEN"或"Hidden"无效 -
name不能为空，否则服务器收不到该字段；含方括号如name="items[]"会令 PHP 自动解析为数组 -
value若含双引号、尖括号或 & 符号，必须用htmlspecialchars()（PHP）或encodeURI()（JS）转义，否则破坏 HTML 结构
传递复杂数组时别用 print_r()，改用 json_encode()
直接把 PHP 数组塞进 value 里（比如 value="<?php print_r($data); ?>"）会导致服务器收到一串无法还原的调试文本，$_POST['data'] 永远是字符串类型，不是数组。
- 正确做法：前端用
json_encode($data)+htmlspecialchars(..., ENT_QUOTES)输出 - 后端接收后，用
json_decode($_POST['data'], true)还原为关联数组 - 注意：JSON 不支持 PHP 的资源、闭包、对象方法等，仅适用于纯数据结构
多个同名隐藏域会被当作数组提交（PHP 自动处理）
当页面中存在多个 <input type="hidden" name="tag"> 时，PHP 默认将它们合并为 $_POST['tag'] 数组，顺序与 DOM 中出现顺序一致。
- 例如两个字段：
<input type="hidden" name="tag" value="a">和<input type="hidden" name="tag" value="b">，则$_POST['tag'] === ['a', 'b'] - 若混用单值和数组写法（如一个
name="tag"+ 一个name="tag[]"），PHP 解析行为不可靠，应避免 - JS 动态添加时，确保
name属性拼写完全一致，包括空格和大小写
隐藏域值可被任意修改，服务端验证不可省略
用户打开开发者工具，两秒就能改掉 value 的内容。它不是安全边界，只是传输通道。
立即学习“前端免费学习笔记（深入）”；
- 绝不能用隐藏域传密码、token 密钥、余额、权限标识等敏感值
- CSRF token 是例外，但它的作用是“验证请求合法性”，而非“保护 token 本身”，所以必须配合服务端校验有效期与绑定会话
- 所有隐藏域数据在服务端都应视为不可信输入：检查类型、范围、格式、业务逻辑约束（比如
status只能是"draft"或"published"）
localStorage 或 fetch() 配合轻量 API 更合适。而隐藏域，就老老实实做它该做的：安静地把那一小段上下文数据，随着一次 POST 请求，送到后端。 
