post提交更安全，因其将数据封装在请求体中而非暴露于URL，但需配合HTTPS、正确enctype、服务端校验及CSRF防护等措施才能真正保障安全。
用 method="post" 提交表单本身不是“安全”的充分条件，它只是比 get 更适合传敏感数据的基础设置。真正实现安全提交，需要 form 标签配合多个关键要素协同工作。
必须指定正确的 action 地址并走 HTTPS
仅写 method="post" 不够——如果 action 指向的是 http:// 链接，所有 POST 数据仍以明文传输，中间人可直接截获密码、身份证号等。务必确保：
-
action的 URL 以https://开头 - 后端服务已配置有效 TLS 证书（浏览器地址栏显示锁形图标）
- 避免
action=""或省略action，否则可能意外提交到http://当前页
搭配合适的 enctype 处理不同数据类型
POST 的安全性还取决于数据如何编码。默认的 application/x-www-form-urlencoded 适合普通文本，但上传文件或含二进制内容时必须显式声明：
- 上传文件：必须加
enctype="multipart/form-data"，否则<input type="file">的值为空 - 纯文本/数字：保持默认（无需写
enctype）即可 - 避免误用
text/plain，它不标准，服务端难以解析
不能依赖前端 method 属性防篡改
method="post" 只控制浏览器默认提交行为，无法阻止恶意用户绕过 HTML 直接发请求。因此：
立即学习“前端免费学习笔记（深入）”；
- 服务端必须校验请求方法是否为 POST（例如 Node.js 中检查
req.method === 'POST'） - 所有敏感操作（如登录、支付）必须做服务端身份验证和权限判断
- 禁止仅靠前端隐藏字段（如
<input type="hidden" name="role" value="admin">）控制权限
补充防护：CSRF Token 和输入校验
POST 提交易受跨站请求伪造（CSRF）攻击。防御方式包括：
- 在表单中嵌入一次性 token：
<input type="hidden" name="csrf_token" value="abc123">，后端比对并消耗 - 服务端对所有 POST 接口校验
Origin或Referer头（辅助手段，非替代 CSRF Token） - 客户端做基础格式校验（如邮箱格式、密码长度），但必须在服务端重复校验——前端校验可被跳过
