表单 name 值必须使用语义化英文命名（如 duration_minutes），而非数据库字段名（如 user_password_hash），以避免暴露数据结构、降低攻击门槛，并保障可维护性与安全性。
表单 name 值不是数据库别名，而是攻击面入口
直接把数据库字段名（如 user_password_hash、is_admin）当 name 用，等于在前端页面上贴出你的数据结构草图。攻击者不需要逆向或抓包，打开 DevTools 就能看见敏感字段的语义和存在——这不直接导致漏洞，但大幅降低渗透门槛。比如看到 localisation_id，就能推测外键关系；看到 session_token_ttl，可能尝试构造过期逻辑绕过。
- 字段名暴露程度与后端框架无关：Laravel、Django、Express 都无法阻止浏览器渲染出
<input name="api_key"> - 即使字段被
type="hidden"或 CSS 隐藏，仍可通过 DOM 检查获取，且可被 JS 动态读取或篡改 - 搜索引擎爬虫、静态站点扫描器（如 wayback machine）会存档这些字段名，形成持久化信息泄露
name 必须遵循语义层命名，而非存储层命名
表单字段描述的是“用户要填什么”，不是“数据库怎么存”。duree 是法语+存储缩写，对前端开发者、翻译人员、自动化测试脚本都不友好；duration_minutes 才表达真实业务意图：用户输入的是分钟数，单位明确，无歧义。
- 优先使用英文、全称、带单位或上下文的命名：
shipping_address_line1比adr_l1清晰 - 避免方言、缩写、大小写混用：
Nom、NUMERO、id_user都破坏一致性 - 嵌套结构用数组语法表达语义：
contact[phone]比contact_phone更易扩展为多号码场景
框架 mass assignment 不是免死金牌，name 和 fillable 必须解耦
Laravel 的 $model->fill($request->all()) 看似省事，但前提是 $request->all() 里只包含你允许写入的字段。如果前端 name 和模型属性同名，又没严格设 $fillable，攻击者只需加个 <input name="is_superadmin" value="1"> 就可能提权。
- 永远显式声明
$fillable = ['title', 'duration_minutes', 'venue_url']，禁用$guarded = []或通配符 - 不要依赖
$request->only([...])作为唯一防线——它只是白名单过滤，前提是你知道所有合法name值 - 控制器中做字段映射更安全：
'duration_minutes' => (int) $request->input('duration')，既转换类型，又隔离前端命名
国际化和重构成本藏在 name 里，现在不处理，上线后就得硬改
一个 name="nom" 字段，上线半年后要支持英语 UI，你得改三处：模板里的 name、JS 表单验证逻辑、后端接收参数的键名。而如果一开始用 name="full_name"，UI 层只换 label 文本，其余不动。
立即学习“前端免费学习笔记（深入）”；
- 数据库重命名（如
kilometre → distance_km）不应触发前端代码变更，否则极易漏掉某处name="kilometre" - 新增业务字段（如前端需传
duration_display格式化字符串，后端却只存秒数）必须通过映射解耦，不能靠改name - 第三方集成（如 Stripe、Auth0）要求特定字段名时，应在后端适配，而非让前端迁就——避免污染主表单语义
