disabled元素在FormData中自动被忽略是标准行为——只要元素有disabled属性，FormData构造函数就会原生跳过它；手动遍历form.elements或querySelectorAll时需显式过滤，readonly可替代disabled提交值，但服务端必须校验字段权限。
disabled元素在FormData中自动被忽略是标准行为
不是bug，也不是兼容性问题——只要元素有disabled属性，FormData构造函数（如new FormData(form)）就会原生跳过它。无论它是<input>、<select></select>还是<textarea></textarea>，只要disabled存在，它的name和value就彻底不出现在最终数据里。
常见错误是以为“手动遍历form.querySelectorAll('input')就能绕过”，结果没加:not([disabled])过滤器，把本该排除的字段又塞进去了。更隐蔽的是：用form.elements迭代时，disabled元素依然在集合里，但FormData.append()调用时仍会无视它——这个双重行为容易让人误判逻辑。
- ✅ 正确做法：
form.querySelectorAll('input:not([disabled]), select:not([disabled]), textarea:not([disabled])') - ❌ 错误假设：
for (const el of form.elements) { fd.append(el.name, el.value) }——el可能是disabled，但el.value仍有值，只是不该提交 - ⚠️ 注意：
el.disabled === true比el.hasAttribute('disabled')更可靠，尤其在动态修改后
jQuery.serialize()和URLSearchParams也遵循同一规则
jQuery.serialize()和原生URLSearchParams都严格遵循HTML表单序列化规范：所有disabled控件不参与编码。这意味着你不能靠“换工具”来恢复被禁用字段的值。
典型误操作是：表单里有个<input name="token" value="abc123" disabled>，想用serialize()取到token=abc123，结果为空。这不是jQuery的问题，而是规范本身如此。
- ✅ 若必须提交该值，改用
readonly而非disabled（仅适用于text/textarea） - ✅ 或在提交前临时移除
disabled：el.removeAttribute('disabled')，但记得提交后恢复（否则UI状态错乱） - ❌ 不要用CSS模拟禁用（如
pointer-events: none），它既不阻止序列化，也不影响可访问性
服务端永远收不到disabled字段，别指望它做权限控制
前端禁用某个<input name="role">，不代表服务端能靠“没收到role参数”来判断用户没越权——攻击者删掉disabled属性或直接发POST请求，值立刻出现。这是最常被忽略的安全盲点。
真正起作用的只有两件事：服务端校验字段是否在白名单内；以及对每个字段做独立权限检查。比如user_id字段即使被disabled，后端也必须验证当前登录用户是否有权操作该ID，而不是简单地“因为没提交就放过”。
- ✅ 后端应明确声明哪些字段允许客户端提交，其余一律丢弃或报错
- ✅ 对敏感字段（如
is_admin、price）做二次校验，不依赖前端是否禁用 - ⚠️ 注意：
disabled只影响表单提交路径，AJAX请求完全不受限——如果JS还拿着那个值发接口，禁用毫无意义
fieldset禁用导致子元素无法单独启用
用<fieldset disabled>批量禁用一组控件很省事，但子元素显式设置disabled="false"或el.disabled = false都无效。浏览器强制继承父级fieldset的禁用状态，这是规范要求，不是bug。
这意味着如果你在fieldset里放了一个<input type="checkbox" name="agree">，哪怕你JS设了input.disabled = false，它依然不可点、不提交。调试时容易卡在这里。
- ✅ 解决方案：要么不用
fieldset批量控制，改用CSS类+JS逐个操作 - ✅ 要么把需要单独启用的控件移出
fieldset范围 - ⚠️ 注意：
<legend>不受影响，仍可聚焦——如果它带交互功能（比如展开/折叠），得额外处理
disabled当成“数据开关”来用：以为禁用就等于“这个值不存在”，结果服务端漏校验，或者JS逻辑误读了DOM状态。它本质是个UI/交互锁，不是数据过滤器。 
