[連結] Window.open() and target=”_blank” have a security vulnerability

[心靈捕手]

https://www.js-craft.io/blog/window-ope ... erability/

--
重點眉批：
我們通常使用 HTML target="_blank" 或 Javascript window.open() 來開啟新的視窗，如下：

代碼: 選擇全部

// in html
<a href="www.google.com" target="_blank">open google</a>
// in javascript
window.open("www.google.com")

為避免其安全的漏洞，可以修改如下：
在 HTML 中使用 rel="noopener" 和 target="_blank"

代碼: 選擇全部

<a href="someLink.com" target="_blank" rel="noopener noreferrer">
    open securely in a new tab
</a>

在 Javascript 中一定要重置「opener」屬性

代碼: 選擇全部

const newWindow = window.open("someLink.com");
newWindow.opener = null;