formdata 对象仅是表单数据的快照，修改它不会反向更新原始表单控件的值；若需服务端接收加密后密码，必须直接修改 input 元素的 value 属性，而非仅操作 formdata。
在前端对用户密码进行客户端加密（如使用 JSEncrypt）时，一个常见误区是：通过 new FormData(form) 获取数据后调用 .set() 修改密码字段，误以为这会改变实际提交的内容。事实并非如此 —— FormData 是一次性拷贝，与 DOM 表单无双向绑定。即使你成功调用 formData.set('password', encrypted) 并验证 formData.get('password') 返回密文，浏览器最终提交的仍是原始 的 value 值，而非你构造的 FormData 对象。
✅ 正确做法是：在提交前直接修改表单控件的 DOM 值。例如：
function usernamePasswordLogin(event) {
event.preventDefault(); // 阻止默认提交，以便先加密
const passwordInput = document.getElementById('password-field');
const plainPassword = passwordInput.value;
// 加密（注意：publicKey 需已定义）
const encrypt = new JSEncrypt();
encrypt.setKey(publicKey);
const encrypted = encrypt.encrypt(plainPassword);
if (!encrypted) {
alert('加密失败，请检查公钥或密码长度');
return;
}
// ✅ 关键：直接覆写 input 的 value
passwordInput.value = encrypted;
// 现在可安全提交表单（此时 formData 或原生提交都会使用新值）
event.target.submit();
}⚠️ 重要提醒：
- HTTPS 是底线：客户端加密不能替代 HTTPS。未启用 TLS 时，攻击者可篡改 JS 脚本、窃取公钥或绕过加密逻辑。务必确保站点全站强制 HTTPS。
- 服务端仍需哈希：即使前端加密，服务端也应将接收到的密文（或更推荐：直接接收明文）再次用 bcrypt/scrypt/Argon2 等强哈希算法处理，绝不存储明文或客户端密文。
- 避免重复加密风险：若表单可能被多次提交（如用户误点），请在加密后清空原始密码变量或禁用提交按钮，防止重复加密导致服务端解密失败。
- 现代替代方案考虑：对于高安全要求场景，建议采用 WebAuthn（密码less 认证）或 SRP（Secure Remote Password）协议，而非自建 JS 加密流程。
总结：FormData.set() 仅影响该对象实例，不联动 DOM；要改变实际提交内容，必须操作 input.value。但更根本的建议是——信任 HTTPS + 服务端安全哈希，而非依赖脆弱的前端加密。
