根本原因是未对HTML属性值做完整转义，需用模板引擎内置安全插值或手动转义5个核心字符；XSLT属性插值默认不转义，应升级至XSLT 3.0或手动调用转义函数；date/number input需严格校验ISO格式与纯数字；reset()仅恢复HTML attribute值，非JS设置的DOM property值。
value属性拼接时双引号被截断怎么办
服务端模板（如 Jinja2、Thymeleaf）直接插值 value="{{ user.name }}"，若 user.name 含双引号（如 "张"三"），会导致 HTML 属性提前闭合，后续内容被丢弃或解析为无效标签。
- 根本原因不是引号本身，而是未对属性值做 HTML 属性级转义——只转义
<和>不够，"必须转成" - 正确做法：使用模板引擎内置的
|escape（Jinja2）、th:attr（Thymeleaf）等安全插值方式，而非裸字符串拼接 - 手写转义时，必须覆盖全部 5 个核心字符：
&→&、→ <code><、>→>、"→"、'→' - 注意：JavaScript 的
encodeURIComponent()不适用——它生成 URL 编码，不是 HTML 实体
XSLT 渲染中 value="{/data/name}" 自动 XSS 怎么防
XSLT 1.0（如 .NET 原生 XslCompiledTransform）对属性插值 value="{/data/name}" 默认不转义，即使源 XML 中含 <script>，也会还原为原始字符并直接插入 HTML，触发 XSS。
-
xsl:value-of会自动转义文本节点，但属性值插值（{}）是盲区 - 唯一可靠解法：升级到 XSLT 3.0 +
method="xhtml"输出模式（如 Saxon 处理器），此时所有属性值强制按 XHTML 规则转义 - .NET 原生环境无法启用该模式，只能退而求其次：在 XPath 表达式中手动调用转义函数（如
saxon:serialize()），或改用后端预处理字段 - 切勿依赖前端 JS 再次过滤——攻击者可绕过 JS 直接请求 XML 原始数据
date/number 类型 input 的 value 值为空却无报错
<input type="date" value="20/05/2024"> 或 <input type="number" value="1,234"> 渲染为空白，控制台可能仅提示 warning，不抛异常，容易被忽略。
- 浏览器对
type="date"要求严格 ISO 格式：YYYY-MM-DD（如2024-05-20），其他格式（如20/05/2024）直接忽略 -
type="number"只接受纯数字字符串，不支持千位分隔符（,）、货币符号（¥）或空格；value="1234"合法，value="1,234"非法 - 服务端输出前需校验并标准化：日期用
toISOString().split('T')[0]，数字用String(Number(input))剥离格式 - 别依赖 placeholder 提示格式——它不影响 value 解析，也不阻止提交非法值
reset() 恢复不了 JS 设置的默认值
写 el.value = "新内容" 后点重置按钮，输入框变空，而不是回到你设的值——因为 form.reset() 恢复的是 HTML attribute 的 value，不是 DOM property 的 el.value。
立即学习“前端免费学习笔记（深入）”；
- 验证方法：
el.getAttribute('value')返回初始 HTML 值，el.value返回当前实际值，两者常不一致 - 若必须用 JS 初始化，应在渲染前就写死 HTML 的
value属性（服务端注入或 SSR 阶段），而非 DOM 加载后赋值 - 框架场景下（React/Vue），受控组件靠 state 驱动，
reset()本就不生效；非受控组件用defaultValue，但它只在首次挂载时起作用，props 更新后不会同步 - textarea、select、checkbox/radio 同理：分别依赖
defaultValue、selected、defaultChecked，JS 改value/selectedIndex会破坏 reset 逻辑
