后端校验是必须的，前端校验仅用于体验优化；PHP须用filter_var()等函数对$_POST原始值二次过滤，PDO绑定防SQL注入但不替代语义校验；JS校验应轻量、实时、与后端规则解耦，错误信息需前后端统一但传递方式分离。
后端校验是必须的，前端校验只是体验优化——绕过JS验证太容易，不校验就等于裸奔。
PHP后端必须用 filter_var() 和 $_POST 真实值做二次过滤
前端任何 required、pattern 或 JS preventDefault() 都能被禁用或直接发 POST 请求绕过。PHP 必须重新解析原始输入：
- 用
filter_var($_POST['email'], FILTER_VALIDATE_EMAIL)替代简单!empty()判断邮箱 - 数字字段别信
type="number"，用filter_var($_POST['age'], FILTER_VALIDATE_INT, ['options' => ['min_range' => 1, 'max_range' => 120]]) - 对富文本或用户昵称等，用
htmlspecialchars($_POST['content'], ENT_QUOTES, 'UTF-8')再入库，不是只在输出时转义 - 若用 PDO 插入，参数绑定（
$stmt->execute([$name, $email])）可防 SQL 注入，但不能替代语义校验（比如邮箱格式、长度）
JS 前端校验要即时、轻量、不重复后端逻辑
目的不是“拦住错误”，而是“减少无效请求+引导用户”。别在 JS 里写和 PHP 一模一样的正则或业务规则（比如密码强度、手机号段校验），维护成本高且易不同步：
- 用 HTML5 属性做基础拦截：
required、minlength="6"、type="email"浏览器原生支持，零 JS 也能生效 - JS 补充交互反馈：监听
input事件实时提示（如“密码需含大写字母”），但校验逻辑尽量简化（比如只检查长度和是否含数字，不校验具体字符组合） - 提交前再跑一次关键项（如邮箱格式、两次密码一致），用
form.addEventListener('submit', e => { if (!isValid) e.preventDefault() })，别依赖onsubmit="return validate()"这种内联写法 - 避免在 JS 中硬编码最大文件大小、用户名长度等——这些应从后端 API 返回（如
/api/config），保持前后端阈值一致
错误信息要前后端对齐，但传递方式不同
用户看到的错误文案必须统一，但传输机制不能混用：
立即学习“PHP免费学习笔记（深入）”；
- 前端 JS 校验失败：直接操作 DOM 显示
span.error，不走网络请求 - 后端校验失败：PHP 接口返回标准 JSON，例如
{"error": "email", "message": "邮箱格式不正确"}，Vue/React 拿到后映射到对应字段 - 别在 PHP 中 echo HTML 错误块然后让 JS 插入（如
echo '<div class="err">...</div>'），这破坏接口契约，也难测试 - 表单级错误（如“验证码错误”）和字段级错误（如“密码太短”）建议分两个 JSON 字段返回，方便前端分别处理
最容易被忽略的是：当后端校验失败并返回 JSON 错误时，前端必须清空上次成功提交后残留的临时状态（比如上传进度条、按钮 loading 状态），否则用户会困惑“我明明改了，为什么还报错”。这个清理动作不在校验逻辑里，但在实际交互链路中缺它不可。
