form标签必须指定action和method才能正确提交数据：action定义后端接收URL，method必须为post以保障密码等敏感数据安全，且所有input须有name属性，Django中还需包含{% csrf_token %}防止403错误。
form 标签必须配 action 和 method 才能真正提交数据
不写 action，点击提交后页面会刷新并跳转到当前 URL（比如 / 或 about.html），后端收不到任何字段；不写 method，浏览器默认用 GET，导致密码、文件、长文本全失效，且数据暴露在地址栏里。
生产环境一律用 POST：action 必须指向真实可接收请求的后端路径，如 /api/register 或 /submit；method="post" 是安全底线，尤其含密码、邮箱、textarea 内容时。
- Django/Flask 等框架中，
action值要和路由定义严格一致——大小写、开头斜杠、结尾斜杠都不能错 - 本地开发测试时，
action可暂设为#或javascript:void(0)，但仅限调试，不能上线 - 若用 fetch 或 AJAX 提交，
form的action和method仍需保留，否则语义缺失、无障碍支持弱
每个 input 都得有 name 属性，否则后端根本收不到
浏览器只把带 name 的控件序列化进请求体。没写 name 的 <input type="text">，哪怕用户输了一千字，后端 request.form（Python Flask）、$_POST（PHP）或 req.body（Node.js）里都为空。
-
<input type="text" name="username">→ 后端通过username键取值 - 同名
checkbox（如name="hobby"）会以数组形式提交：hobby=阅读&hobby=编程 -
radio组必须共用一个name，靠value区分选项，否则无法单选互斥 -
select的name决定后端取值键名，不是option的显示文字
常见控件类型与对应使用场景
不同 type 值影响语义、校验行为、移动端键盘类型，不能只看视觉效果。
-
type="email"：触发邮箱格式基础校验 + 移动端调出 @ 键盘，但后端仍需正则验证（如 Python 的email-validator库） -
type="tel"：无强制校验，但移动端弹出数字键盘，适合国内手机号（别信pattern能拦住所有错误） -
type="number"：支持min/max，但用户仍可手动输入非法值，后端必须做范围检查 -
type="file"：必须搭配enctype="multipart/form-data"才能上传文件，否则后端收不到二进制内容 -
textarea：用于多行文本，name不可省，rows/cols仅控制初始尺寸，不限制长度
Django 场景下漏掉 csrf_token 就是 403
表单能渲染、能点、能发请求，但后端返回 403 Forbidden，网络面板看到状态码就停了——90% 是因为没加 {% csrf_token %}。
Django 默认开启 CSRF 中间件，所有 POST 请求必须携带有效 token。修复方式只有一种：
<form action="{% url 'submit_view' %}" method="post">
{% csrf_token %}
<input type="text" name="message">
<button type="submit">发送</button>
</form>
这个 token 不是可选装饰，是强制安全机制。前端验证再严，也挡不住 curl 直接 POST；CSRF token 漏了，整个表单就卡在网关层，后端连日志都不会打。
