关于前端:windowopen和target-blank存在安全漏洞

作者：Daniel
译者：前端小智
起源：js-craft

有幻想，有干货，微信搜寻 【大迁世界】 关注这个在凌晨还在刷碗的刷碗智。

本文 GitHub https://github.com/qq449245884/xiaozhi 已收录，有一线大厂面试残缺考点、材料以及我的系列文章。

咱们常常应用 HTML target="_blank" 或 window.open() 在新窗口中关上页面。

// in html
<a href="www.google.com" target="_blank">open google</a>

// in javascript
window.open("www.google.com")

然而，当新关上的页面指向一个咱们不晓得的网站时，咱们就会被裸露在钓鱼网站的破绽中。新页面通过 window.opener对象取得了对链接页面的一些局部拜访权限。

例如，能够应用 window.opener.location 将初始页面的用户指向一个假的钓鱼网站，该网站模拟原始网站的外观并做各种恶心的事件。鉴于用户信赖曾经关上的页面，这可能是十分无效的。

为了避免这种状况，咱们能够:

在 HTML 中应用 rel="noopener 和 target="_blank"。

<a href="someLink.com" target="_blank" rel="noopener noreferrer">
    open securely in a new tab
</a>

在 Javascript 中，肯定要重置 opener 属性:

const newWindow = window.open("someLink.com");
newWindow.opener = null;

后续：当初看来，noreferrer 是多余的，所以 noopener` 对于 HTML 的应用应该是足够的。

代码部署后可能存在的 BUG 没法实时晓得，预先为了解决这些 BUG，花了大量的工夫进行 log 调试，这边顺便给大家举荐一个好用的 BUG 监控工具 Fundebug。

原文：http://www.js-caft.io/blog/wi…

交换

有幻想，有干货，微信搜寻 【大迁世界】 关注这个在凌晨还在刷碗的刷碗智。

本文 GitHub https://github.com/qq44924588… 已收录，有一线大厂面试残缺考点、材料以及我的系列文章。