Using target=“_blank“ without rel=“noreferrer“ is a security risk:

冷不防 2022-09-11 05:18 214阅读 0赞

报错提示：使用 target=”_blank”的时候没有带上rel=”noreferrer”是一个安全风险。

当您的页面链接至使用 target="_blank" 的另一个页面时，新页面将与您的页面在同一个进程上运行。如果新页面正在执行开销极大的 JavaScript，您的页面性能可能会受影响。

当你使用target="_blank"打开一个新的标签页时，新页面的window对象上有一个属性 opener ,它指向的是前一个页面的window对象，因此，后一个新打开的页面就可以控制前一个页面了.

如上图的a标签<a href='A.com'>打开A页面</a>,如果打开的页面的域名和当前页面的域名是在同一个域名下，在打开后的控制台输入window.opener.alert(1),你会的发现上一个页面竟然弹出1。我们在打开的页面控制了前一个页面。如此是特别不安全的。

为了避免上述安全漏洞的发生，我们就需要在a标签上添加rel="noopener noreferrer"属性，此时，当你打开新页面后，你会发现windwo.opener已经被置为 null。就这样，我们就避免了一次安全事故的发生

发表评论取消回复

表情：

评论列表（有 0 条评论，214人围观）

还没有评论，来说两句吧...

相关阅读

相关 Oracle Security Risks: Lack of Patching, SQL Injection, etc.

Oracle, being a popular relational database management system (RDBMS), does come with ce

ゞ浴缸里的玫瑰/ 2025年03月02日 17:06/ 0 赞/ 19 阅读

相关 Oracle Security Breaches: Identifying Risks and Implementing Controls

Oracle, one of the largest and most prominent database management systems (DBMS), has in

浅浅的花香味﹌/ 2025年03月01日 04:21/ 0 赞/ 1 阅读

相关 Can I use Proxmox VE without a subscription?

.16.Can I use Proxmox VE without a subscription? Proxmox VE is open-source software...

墨蓝/ 2024年04月19日 11:16/ 0 赞/ 107 阅读

相关一键解决WARNING: This is a development server. Do not use it in a production deployment. Use a productio

WARNING: This is a development server. Do not use it in a production deployment. Use a p

我不是女神ヾ/ 2024年03月27日 18:42/ 0 赞/ 117 阅读

相关 Securing Solr on Tomcat access using a user account

Open \[Tomcat install dir\]\\tomcat-users.xml for editing. Add the following lines

小咪咪/ 2022年09月20日 12:55/ 0 赞/ 176 阅读

相关 Using target=“_blank“ without rel=“noreferrer“ is a security risk:

> <a href="https://github.com/reactjs" target="\_blank"> > <img

冷不防/ 2022年09月11日 05:18/ 0 赞/ 215 阅读

相关 Divide a number by 3 without using *, /, +, -, % operators

原帖: [http://stackoverflow.com/questions/11694546/divide-a-number-by-3-without-using-oper

妖狐艹你老母/ 2022年05月24日 05:56/ 0 赞/ 225 阅读

相关 You are using safe update mode and you tried to update a table without a WHERE that uses a KEY colum

Error: 1175 SQLSTATE: HY000 (ER\_UPDATE\_WITHOUT\_KEY\_IN\_SAFE\_MODE) Message: You

分手后的思念是犯贱/ 2022年03月20日 15:52/ 0 赞/ 192 阅读

相关 sed use case: Filter without editing

if we want to filter with sed pattern and just print the filtered lines without any furt

雨点打透心脏的1/2处/ 2021年12月17日 07:07/ 0 赞/ 172 阅读

相关 530 A secure connection is requiered(such as ssl)

你如果是php程序员,在测试网站邮箱功能,比如dedecsm的织梦自动发邮件测试时,用qq邮箱提示错误[530 Error: A secure connection is re

梦里梦外;/ 2021年09月25日 19:44/ 0 赞/ 212 阅读