min属性仅限制日历UI和键盘导航，无法阻止手动输入、粘贴或JS赋值；必须为严格YYYY-MM-DD格式，否则静默失效；安全写法是new Date().toISOString().slice(0,10)；还需监听change事件并清空时分秒后校验日期。
min 属性能禁掉过去日期，但只靠它远远不够——浏览器不会阻止手动输入、粘贴或 JS 直接赋值，而且格式错一点就完全失效。
min 属性必须是严格 YYYY-MM-DD 格式字符串
任何偏差都会让 min 形同虚设："2026/10/20"、"2026-10-20T00:00"、"2026-10-20 "（尾部空格）全被忽略。浏览器静默跳过，不报错也不警告。
- 安全写法：用
new Date().toISOString().slice(0, 10)—— 它返回"2026-10-20"，无时区干扰，且自动补零 - 别用
toLocaleDateString()：地区不同输出不同，比如美国是"10/20/2026" - 也别手动拼
getMonth() + 1：漏了padStart(2, '0')就变成"2026-10-2"，无效
用户仍能绕过 min，必须监听 change 事件校验
min 只控制日历 UI 和键盘导航，对以下行为完全没用：
- 手动敲
"2025-01-01" - 粘贴任意日期字符串
- JS 直接执行
input.value = "2020-01-01"
所以得加一层实时校验：
const input = document.querySelector('input[type="date"]');
input.addEventListener('change', () => {
const selected = new Date(input.value);
const today = new Date();
// 注意：比较前先清空时分秒，避免本地时区导致跨日
today.setHours(0, 0, 0, 0);
selected.setHours(0, 0, 0, 0);
if (selected < today) {
input.value = '';
input.reportValidity(); // 触发原生提示
}
});
服务端必须独立验证，不能信前端传的任何日期
所有前端限制在 DevTools 里三秒就能绕过。后端收到 value 后要：
立即学习“前端免费学习笔记（深入）”；
- 解析成日期对象（不是直接存字符串）
- 用服务端当前时间（非客户端传的时间戳）做比较
- 确认该日期 ≥ 服务端“今天”（即
new Date().toDateString()或等效逻辑）
最容易被忽略的是：前端用的是用户设备本地日历日，而服务端可能按 UTC 存储或解析——如果没对齐时区基准，2026-10-20 在东八区是白天，在纽约却是 2026-10-19 晚上，校验就会出错。
