hidden input 的值能否提交到后端仅取决于 name 和 value 是否正确设置；name 缺失或不一致导致后端无法获取，value 为空则不提交，重复 name 行为因框架而异，且 hidden 不具备安全性，敏感数据必须后端校验。
hidden input 必须写对 name 和 value 才能提交
表单提交时，<input type="hidden"> 不会出现在页面上，但它的值是否真能送到后端，只取决于两个东西：name 和 value 是否都写了、写得对。
常见错误是只写 <input type="hidden" value="123"> —— 没 name，后端根本收不到这个字段；或者 name="user_id" 写成 name="userId"，前后端命名不一致，PHP 读 $_POST['user_id'] 就是空。
-
name是键名，决定后端用什么 key 去取值（如 Flask 的request.form.get("step")） -
value可以是硬编码字符串，也可以是模板变量（如<input type="hidden" name="token" value="{{ csrf_token }}">） - 如果
value属性完全没写，该字段压根不参与提交；写成value=""则提交空字符串
submit 按钮本身不能直接带参数，得靠 hidden 配合 JS
HTML 的 <input type="submit"> 或 <button type="submit"> 本身不携带可提交的参数。想让不同按钮触发不同行为（比如“保存草稿” vs “正式提交”），不能靠按钮的 value 直接当业务参数用——除非你额外加一个 hidden 字段，并在点击时用 JS 更新它。
- 别写
<button type="submit" value="draft">保存草稿</button>：这个value不会作为独立参数提交 - 正确做法：加一个
<input type="hidden" name="action" value="submit">，再用 JS 在点击时改它的value - JS 更新必须在
submit事件开头执行，否则可能来不及；推荐绑定到form.addEventListener('submit', ...)，而不是按钮的onclick
多个 hidden 字段共存没问题，但 name 重复要小心
一个表单里放多个 <input type="hidden"> 是常规操作，比如同时传 csrf_token、referer、timestamp。只要 name 不同，后端就能分别取到。
立即学习“前端免费学习笔记（深入）”；
但如果写了两个 name="id"，行为就因后端框架而异：
- PHP 默认把同名字段转成数组，
$_POST['id']是数组，哪怕只有一个值 - Flask 默认只取第一个，
request.form.get("id")返回首个，getlist("id")才能拿到全部 - 如果本意是单值，就别重复
name；如果真要多值，明确约定接收方式（比如用name="tag[]"）
hidden 不是安全机制，敏感逻辑必须后端校验
<input type="hidden"> 的值在 DevTools 里两秒就能改，它只是“传输通道”，不是“保险柜”。把价格、权限、状态标记塞进去，等于把开关钥匙交给用户。
- 适合传：已验证的用户 ID、来源标记（
ref=mobile）、防重放时间戳（配合后端签名验证）、CSRF token（但 token 本身需服务端签发并校验） - 绝不该传：金额、角色等级、订单状态（如
status=paid）、密码、API 密钥 - 所有 hidden 字段的值，后端必须重新校验：ID 是否真实存在、token 是否匹配当前 session、时间戳是否在有效窗口内
最容易被忽略的是：前端 JS 动态赋值后没检查 Network → Form Data 确认是否真提交了，或者忘了后端对字段做白名单校验，只按前端传来的值直接入库。
