验证的目的是少填错，不是多拦截
很多站点的表单验证出发点就错了：想尽办法拦住用户，结果用户在提交前就被劝退。验证的正确定位是帮用户尽早发现问题，而不是在最后一步把人挡在门外。
判断标准很简单：用户填错了，能不能第一时间知道错在哪、怎么改。如果做不到，那这套验证就是负担。见过不少表单，提交完弹一句格式错误，却不说是哪个字段错了，用户只能从头再填一遍。
所以第一步是梳理字段。哪些是必填、哪些可以选填、哪些有格式要求。能删的字段就删，每多一个输入框就多一次放弃的机会。表单长度和转化率的关系，做过投放的人都有体会。
前端能做的一步到位
输入时就给提示，不要等到提交。邮箱格式、手机号位数，这类规则在输入框失焦时就能判断，用户改起来最快。
用输入类型让手机弹出对的键盘。邮箱用 email 类型，电话用 tel 类型，数字用 number 类型。这一步几乎零成本，但对手机端体验提升明显，用户不用在小键盘上找符号。
把格式示例写在占位提示里。别只写请输入手机号，写清楚是十一位还是带区号。含糊的提示等于让用户猜。
提交按钮要有明确的进行中状态。点了之后按钮变灰显示提交中，避免用户连点造成重复提交。重复提交是表单最常见的脏数据来源，比格式错误多得多。
后端必须兜底
前端验证只是体验优化，不能当安全边界。所有校验在后端必须重做一遍，因为前端可以绕过，改个请求就能提交任意内容。
字段长度必须有上限。不限制长度的输入框，会被灌进几 MB 的垃圾数据，把数据库和页面一起拖垮。每条字段定一个合理上限，超了直接拒绝。
类型要严格转换。传进来的是字符串就按字符串存，需要整数就显式转整数并校验范围。不要依赖数据库的类型推断，那是隐患。
还要防注入和 XSS。用户输入里有脚本标签、有 SQL 片段是常态，输出时转义、查询时参数化，这是底线，不是可选项。
错误提示怎么写
说清三件事：哪个字段、错在哪、怎么改。比如邮箱格式不正确，请检查是否包含完整的域名。这一句比格式错误有用十倍。
错误提示贴着字段显示，别集中放在表单顶部。用户眼睛在输入框上，提示就该在附近。顶部汇总可以有，但要能点击跳到对应字段。
别用红色加粗大声喊。错误提示的目的不是责备，是帮助。红色可以，但字号语气保持平常，别让用户觉得被骂了。
还有一个细节：错误提示出现时不要清空用户已填的内容。辛辛苦苦填了十个字段，一提交全清空，这是最伤人的设计，很多人就是在这里放弃的。
防刷与频率限制
公开表单一定会被刷。加个人机验证是必要的，但别上那种要选十几张图的，用户烦、无障碍也差。简单的算术题或者点击验证足够挡住大部分脚本。
按 IP 和会话做频率限制。同一 IP 一分钟内提交超过几次就暂时拒绝，这条能挡住绝大多数自动化灌水。
敏感操作加二次确认。比如提交后要给邮箱发验证链接，确认是真人所有。这一步能过滤掉大量随手填写的无效数据。
表单字段本身的减法
先把字段砍到最少。每一项都要问自己：这个信息现在必须收集吗，晚一点收集行不行，能不能用默认值或者推断出来。表单长度每减少一个字段，完成率通常都会往上走一点。
能合并的就合并。姓名和昵称只留一个，地址拆得太细反而让用户烦。拆分的目的是为了后续处理方便，但那是数据库设计的事，不该让用户来承担。
选填项要标清楚。很多表单所有字段都显示成必填的红星，用户以为是硬性要求，填到一半嫌烦就走了。真的选填就明确写选填，别让用户猜。
合理的默认值能省一半操作。地区、时间、分类这类字段，给一个最常见的默认选中，用户确认一下就行，比让他从一长串列表里找要快得多。
验证时机怎么安排
边输边验太重，容易打断。每敲一个字符就校验一次，界面会一直闪红，用户还没输完就被判定错误，体验很差。
失焦时验最合适。用户从当前输入框移到下一个，这时候校验刚刚填完的那一项，时机刚好，改起来也方便。
提交时做一次总校验做兜底。即使前面都过了，提交前也要整体检查一遍，防止中途有字段被改坏或者被跳过。
错误字段要自动聚焦。提交失败后，光标直接落到第一个出错的字段，用户不用自己往回找。这一条能省掉大量重复操作。
几种常见的坑
手机号校验只认十一位。有些用户填带区号的格式，有些填带空格的，一律被判错。宽松一点接受常见写法，入库时再统一格式化，这才是对用户友好。
邮箱校验拦掉了合法的加号地址。带加号是合法格式，用过于严格的正则把它拦掉，等于把真实用户挡在门外。
验证码有效期太短。一分钟内没填完就失效，用户还得等重发。三到五分钟比较合理，重发间隔也要给足。
密码规则写得含糊。只写密码不符合要求，不说到底要几位、要不要大小写，用户只能反复试。把规则写在输入框旁边，一次说清。
