input[type="hidden"]不是安全容器，而是必须name正确、type字面量为"hidden"、value提交前已写入的上下文“信封”，缺一导致后端收不到关键字段。
直接说结论：input[type="hidden"]不是安全容器，而是上下文“信封”——它必须存在、name必须对、value必须及时写入，否则后端收不到关键字段，整个业务流程就断了。
为什么后端收不到 hidden 字段？name 和 type 最容易错
浏览器只认 name 属性来组织提交数据，没它等于没这个字段；type 拼错或大小写不对，会直接降级成可见的文本框。
-
name漏写、拼错（比如前端写prod_id，后端读productId），PHP 的$_POST["productId"]就是null -
type="Hide"、type="HIDDEN"或干脆不写type，浏览器当它是type="text"，可能意外显示在页面上 - 把
id="user_id"当成传输依据，但后端根本不看id，只认name
value 为空或过期？动态赋值时机和 DOM 就绪是关键
静态 value 写死没问题，但 JS 动态注入时，90% 的空值问题出在“还没等值写进去，表单就提交了”。
- 脚本放在
<head>里直接操作document.getElementById("token")→ 元素不存在，赋值失败 - 用
getElementsByName("csrf")返回 NodeList，直接链式调用.value→ 报错，得用querySelector('input[name="csrf"]') - CSRF token 从 API 异步获取，但用户点了提交按钮，Promise 还没 resolve → 提交时 value 是空字符串或旧值
- 推荐绑定到
form.addEventListener('submit', ...)开头，确保最后一次写入发生在提交瞬间
多个 hidden 字段共存时，后端收到的到底是哪个值？
同名 name 的 input[type="hidden"] 全部参与提交，但不同后端行为不一致——这不是 bug，是规范行为，必须提前对齐。
立即学习“前端免费学习笔记（深入）”；
- PHP 默认只取最后一个，
$_POST["step"]是最后那个value - Flask 默认也只取第一个；要收全部得显式用
request.form.getlist("step") - Express 需配
extended: true才能把同名字段转成数组，否则还是覆盖 - 别靠“页面上只放一个”来赌，用唯一 name（如
step_current、step_previous）更稳妥
能用 hidden 传价格、角色、权限吗？不能，但很多人正在这么做
DevTools 两秒就能改 value，input[type="hidden"] 唯一作用是“防误不防恶”。真要保安全，靠的是后端重验，不是前端藏。
-
<input type="hidden" name="price" value="99.9">→ 攻击者改成0.1，后端若没校验库存/定价策略，就真按 0.1 结算 -
<input type="hidden" name="role" value="user">→ 篡改为admin，若后端没查 session 权限，就直接越权 - 真正该传的只有不可伪造的上下文标识：数据库主键、JWT payload 中已签名的 ID、一次性操作 token
- 所有敏感判断必须在服务端重做：提交了
id=123，就得再查一遍“当前用户是否有权编辑这条记录”
最常被忽略的点是：以为只要 HTML 里写了这个标签，后端就一定能拿到值。其实它依赖三个刚性条件——name 对、type="hidden" 字面量正确、value 在 submit 前已被有效写入。少一个，后端就收不到，而且往往报错信息还不提示是 hidden 字段缺失。
