关于HTML中a标签的重大安全性漏洞！！！

我只会写Bug啊

已于 2022-11-02 09:30:04 修改

阅读量1.4k

点赞数

分类专栏：前端文章标签： a标签 a标签安全漏洞前端安全性 html

于 2019-09-05 16:04:34 首次发布

本文链接：https://blog.csdn.net/qq_28584685/article/details/86366726

版权

前端专栏收录该内容

64 篇文章 1 订阅

订阅专栏

前端开发过程中我们经常会用到<a target="_blank">标签来打开新的窗口
这是很常见的操作，大部分人也是这么做的
但是其中是有很大的安全漏洞的
举例说明
a.html

<html>
	<body>
		<a href='b.html' target="blank">点击跳转b页面</a>
	</body>
</html>

b.html

<html>
	<script type="text/javascript">
		window.opener.location = 'http://www.baidu.com'
	</script>
</html>

PS：window.opener 返回的是创建当前窗口的那个父窗口的引用

把这两个页面放在桌面上，先运行a页面，当打开b的时候，我们可以发现，此时a页面已经跳转到百度了
设想一下，假如我在b页面 js中写入的网站是和a页面一模一样的钓鱼网站呢，是不是有可能造成非常严重的后果！！！！
所以我们以后在使用a标签的时候切记加上 rel="noopener"属性！！！！不使用 rel=noopener就是让用户暴露在钓鱼攻击上！！！！