hidden字段被忽略是因为浏览器原生submit只提交当前form内的控件；应阻止默认提交，用FormData手动合并本表单字段与全局audit数据后fetch发送，并在服务端校验而非信任客户端传入的audit字段。
跨表单提交时 hidden 字段被忽略的常见原因
浏览器原生表单提交（submit）只提交「当前表单内」的控件，哪怕 <input type="hidden"> 放在另一个 <form></form> 里，也不会随当前表单一起发送。这不是 bug，是 HTML 规范行为。
典型现象：前端在页面顶部放了一个全局 <form id="audit-form"></form> 存 user_id、session_token 等审计字段，但点击底部某个独立 <form id="data-form"></form> 的提交按钮时，这些字段根本没出现在请求体里。
- 检查 Network 面板的 Payload，确认缺失字段是否真的未发送
- 不要依赖 DOM 位置（比如“都在同一个 div 里”），表单边界以
<form></form>标签为界 -
document.querySelector('form').elements只返回该表单内部的可提交元素
用 JavaScript 手动合并字段再 submit
最直接可控的方式：阻止原生提交，收集所有需要的字段，构造 FormData 或拼接 URL 参数后发起 fetch。
关键点不是“怎么发”，而是“哪些字段必须带上”——审计字段通常来自用户会话或页面初始化时注入的 JSON，比如：
立即学习“前端免费学习笔记（深入）”；
生成可在 deepbi 沙箱 iframe 内运行或作为独立文件运行的交互式 HTML 页面，使用 `window.deepbi` JS SDK 实现数据查询、空间管理、文件浏览及用户操作。当用户提出以下需求时启用该能力： - 创建 KPI 仪表盘、数据表格、文件浏览器、成员列表、管理页面； - 明确要求“转成 dhtml”、“转译成 HTML”、“把 XX 页面转成……”、“控制台页面”、“管理后台”、“DeepBI 页面迁移”； - 提及位于 `apps/console/src/featur
const auditData = {
user_id: "u_12345",
op_source: "admin_panel",
trace_id: "t-abc789"
};
然后在目标表单的 submit 事件中：
- 调用
event.preventDefault() - 用
new FormData(formEl)获取本表单字段 - 用
formData.append("user_id", auditData.user_id)补充审计字段 - 用
fetch(formEl.action, { method: formEl.method || "POST", body: formData })提交
避免用 formaction 覆盖 action 导致 audit 字段丢失
有些团队会用 <button type="submit" formaction="/api/v2/update"></button> 切换提交地址，但这个属性只会改变 action，不会改变提交内容——它依然只提交按钮所在表单内的字段。
如果 audit 字段不在该表单内，就又丢了。
- 不要指望
formaction能“跨表单带数据” - 若必须用多个
formaction，把 audit 字段复制进每个相关表单（用 JS 初始化时注入） - 或者统一收口到一个 submit 处理函数，彻底弃用原生 submit 行为
服务端不能只信客户端传来的 audit 字段
前端补上的 user_id、trace_id 等字段，本质是客户端可控输入。服务端必须做二次校验：
- 从 session / JWT / 请求头（如
X-User-ID）中提取真实身份，与 POST body 中的user_id比对，不一致则拒绝 -
op_source可用于日志归因，但不可用于权限判断 - 所有审计字段应记录进操作日志，但关键鉴权逻辑必须基于服务端上下文，而非表单字段
跨表单补 audit 字段这件事，前端只是让数据“能传过去”，真正起作用的是服务端如何验证和使用它——漏掉这层校验，补得再全也没意义。
