關於a標籤target=「_blank"使用rel=noopener

時間 2019-11-29

標籤關於標籤 target blank 使用 rel noopener 简体版

原文原文鏈接

1、爲何要使用rel='noopener'？

先舉個栗子javascript

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <meta http-equiv="X-UA-Compatible" content="ie=edge">
    <title>Document</title>
</head>
<body>
    <a href="b.html" target="_blank">da</a>
</body>
</html>
複製代碼

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <meta http-equiv="X-UA-Compatible" content="ie=edge">
    <title>Document</title>
</head>
<body>
    <SCRIPT>window.opener.location.href ="http://google.com"</SCRIPT>
</body>
</html>
複製代碼

其中在a.html中有個超連接，點擊後打開新的tab頁，神奇的發現原tab頁已經變成了谷歌頁面。緣由是使用target=_blank打開新的窗口時，賦予了新的窗口一些權限能夠操做原tab頁，其中window.location就是一個。不使用 rel=noopener就是讓用戶暴露在釣魚攻擊上。下圖爲頁面的window信息html