应使用 fetch + FormData 实现无刷新提交，而非 target 指向 iframe；iframe 方案存在跨域限制、Chrome 92+ 兼容性问题及 XSS 风险，仅适用于 IE11 兼容或遗留系统。
target="_blank" 会新开窗口，不是你要的“不刷新”
想用 target 让表单提交后不跳转、不白屏，却误设成 _blank 或 _self，结果页面还是闪一下甚至跳走了——这不是 bug，是预期行为。真正要的是让响应留在后台，不干扰当前页面 DOM 和状态。
核心逻辑：把表单 target 指向一个提前声明的 <iframe>，且该 iframe 必须有明确的 name，和表单的 target 值完全一致；同时 iframe 要设 style="display:none" 或放在页面外（但不能移出 document.body，否则部分浏览器会重置其 contentWindow）。
-
<iframe name="upload-frame" style="display:none"></iframe>必须在<form>之前或同级，不能套在 form 里 -
target值必须字符串完全匹配 iframe 的name，大小写敏感，空格也不行 - 提交后服务端返回的内容（哪怕只是
{"ok":true}）会加载进这个 iframe，但用户看不到 - 如果服务端返回 HTML（比如带 script 标签），它会在 iframe 内执行——这是潜在 XSS 风险点，别直接 echo 用户输入
submit 后拿不到响应内容？检查 iframe onload 和 document.readyState
很多人以为表单提交完就能立刻读 iframe 的 contentDocument，结果报错 Access denied 或读到空文档——这通常是因为跨域，或还没加载完就去读。
安全读取响应的唯一可靠时机是 iframe 的 onload 回调，且需确认 document.readyState === "complete"。不要用定时器轮询，也不要假设 setTimeout(0) 就够了。
- 给 iframe 绑定
onload事件，而不是监听 form 的submit后立刻操作 iframe - 在 onload 回调里先检查
iframe.contentDocument && iframe.contentDocument.body是否存在 - 若服务端返回纯 JSON，需包裹在
<pre>或用text/plainMIME 类型，否则浏览器可能当 HTML 解析并执行脚本 - 同域下可读
iframe.contentWindow.document.body.innerText；跨域则完全不可读，只能靠服务端写 JS 调用父页面函数（如parent.uploadDone(...)）
Chrome 92+ 对 display:none iframe 的 submit 行为有降级限制
新版 Chrome（92 起）对不可见 iframe 的表单提交做了策略调整：如果 iframe 从没被插入过 DOM，或长期 display:none，某些情况下会拒绝提交，控制台报 Failed to execute 'submit' on 'HTMLFormElement': The form owner is not in a Document。
这不是 bug，是浏览器主动防 abuse。解决方式很实在：
- iframe 必须真实存在于 document 中（不能只创建不 append）
- 避免用
visibility:hidden替代display:none，前者仍算“可见”，但可能触发布局抖动 - 更稳妥的做法：用
position:fixed; top:-9999px; left:-9999px;把 iframe 移出视口但保留在 DOM 流中 - 极少数场景下（比如 SSR 页面首次渲染），可先
iframe.style.display = "block"瞬间插入再隐藏，但没必要——只要 append 到 body 就满足条件
比 iframe 更现代的替代方案？fetch + FormData 是首选
用 iframe 实现无刷新提交，本质是绕过浏览器默认导航行为。现在主流浏览器都支持 fetch 提交 FormData，还能精确控制 headers、超时、取消请求、上传进度——而且没有跨域读取限制。
除非你必须兼容 IE11 或需要原生文件上传（且不关心进度），否则真没必要折腾 iframe。常见误区是认为 “表单就得用 submit”，其实 event.preventDefault() + fetch 完全等价，还更可控。
- 文件字段要用
new FormData(formEl)构造，别手动拼键值对，否则二进制丢失 -
fetch默认不发 cookie，需显式加{ credentials: "same-origin" } - 服务端返回非 2xx 状态码时，
fetch不 reject，得手动if (!res.ok) throw new Error(...) - 旧项目迁移时，注意
enctype="multipart/form-data"在 fetch 中自动设置，不用手动配
iframe 方案没消失，但它的适用场景已经非常窄：仅限无法改前端逻辑的老系统、或必须依赖服务端重定向响应的遗留流程。其余情况，fetch 是更干净、更少坑的选择。
