引文必须作为表单控件的value值提交，不可用<blockquote>嵌套或placeholder/title/data-*存储；静态引文写死value，动态引文用textContent赋值防XSS；含&< >需转义，中文引号无需实体化；readonly保障提交，disabled则不提交；服务端须重校验。
HTML 表单里怎么正确显示引文内容
直接用 <blockquote> 嵌套在表单里？不行，语义错、校验可能报错、屏幕阅读器体验差。表单控件（<input>、<textarea>）本身不支持嵌套块级 HTML，引文必须作为「值」存在，而不是「结构」。
引文文本该放哪儿：value 还是 placeholder
placeholder 是提示，不是数据；用户一输入就消失，无法提交。真要带引文进后端，必须塞进 value 或预填充 <textarea> 的文本节点里。
- 静态引文（比如模板话术）：直接写死
value="「您的申请已收到，我们将在3个工作日内回复。」" - 动态引文（如从 API 拉的条款）：JS 赋值时注意转义，避免破坏 HTML 结构 —— 用
textContent赋值，别用innerHTML - 别把引文塞进
title或data-*属性里提交，后端拿不到
引号字符要不要 HTML 实体化
中文引号「」、英文引号 " " 在表单提交中一般不用转义，但有两个例外：
- 引文里含
&、<、>：必须转成&、、<code>>，否则破坏 DOM 或被截断 - 后端接收方明确要求 UTF-8 字符直传（如多数现代框架）：保持原样即可，反倒是实体化会导致双解码乱码
- 用
<textarea>显示长引文时，换行符会原样提交，注意后端是否 trim 或 normalize
表单验证时引文算不算用户输入
不算。浏览器原生验证（required、minlength）只检查用户实际修改过的内容。如果引文是预设的 value，且没加 readonly，用户删掉它，验证才生效。
立即学习“前端免费学习笔记（深入）”；
- 想让引文“不可编辑但参与提交”：加
readonly，别用disabled（后者值不提交） - 用 JS 自定义验证时，注意区分
element.value和初始element.defaultValue，引文常来自后者 - 服务端必须重新校验，不能信前端是否保留了引文 —— 用户禁用 JS 或抓包改请求，引文很容易被清空或篡改
引文在表单里从来不是装饰，它是数据的一部分；最容易被忽略的是：它既影响可访问性（ARIA label 怎么配），也影响安全（XSS 风险随引文来源浮动），还影响后端契约（空字符串、null、还是带引号的完整句子）。
