disabled仅禁用前端交互，无法防控制台修改，值不提交；真正防护必须由后端校验字段完整性、权限及业务状态。
disabled 属性根本防不住控制台修改
直接说结论：disabled 是纯前端 UI 状态标记，浏览器不强制校验，用户打开开发者工具删掉 disabled 属性、改 disabled="false" 或设 element.disabled = false，表单就能照常提交。这不是 bug，是 HTML 规范本意——它只负责“禁用交互”，不承担“防篡改”职责。
真正有效的防护必须落在服务端
前端禁用只是用户体验优化，所有关键逻辑（比如“未填完不能提交”“支付按钮只在确认后启用”）必须由后端验证兜底。常见错误是只靠 JS 控制 submit 按钮的 disabled 状态，却没在接收接口里校验字段完整性或业务状态。
- 提交时后端必须重新检查所有必填字段、权限、流程状态（如订单是否已支付、用户是否已实名）
- 不要依赖前端传来的
is_submit_enabled这类字段，这类值毫无可信度 - 对敏感操作（如删除、转账），后端需二次校验 session、token 有效性及操作幂等性
能提升门槛的前端辅助手段
虽然不能防住技术用户，但可增加普通用户绕过成本，同时避免误操作：
使用 Puppeteer + Chrome 将 HTML 渲染为中文 PDF，自动处理图表等待、Tab 展开、动画、测高、白边消除、防分页，适用于看板、报表、网页和交互图表转 PDF。
- 用
fieldset包裹整组控件并设disabled，比逐个加更稳妥（fieldset的disabled会递归禁用子元素） - 提交前用 JS 再次校验（例如
if (!form.checkValidity()) return），但仅作快速反馈，不替代后端 - 禁用按钮后，顺便清空其
onclick或移除事件监听器（button.removeEventListener('click', handler)），避免被 console 直接触发 - 加载中禁用提交按钮时，配合添加
data-loading="true"自定义属性，便于 CSS 控制样式，也方便 JS 判断真实状态
readonly 和 hidden 的误用场景
有人试图用 readonly 替代 disabled 来“保留值但禁用输入”，这是危险的——readonly 允许聚焦、允许复制、允许通过 JS 修改值，且值仍会提交；而 hidden 输入框虽不显示，但值照常提交，且无法被用户感知。真正需要“禁用但保留值”的场景（如审核页展示不可改字段），正确做法是：用 disabled + 后端显式接收该字段（因 disabled 值默认不提交），或额外加一个 type="hidden" 同步存值。
立即学习“前端免费学习笔记（深入）”；
最易被忽略的一点：ASP.NET Web Forms 的 HtmlForm.SubmitDisabledControls = true 属于服务端框架特例，它会让被 JS 禁用的控件值强制提交，但这仅作用于该框架的 postback 机制，对标准 HTML 表单或现代 SPA 完全无效。
