关于HTML中a标签的重大安全性漏洞！！！

我只会写Bug啊

发布于 2023-12-25 14:53:23

33800

代码可运行

文章被收录于专栏：Bug EngineerBug Engineer

运行总次数：0

代码可运行

前端开发过程中我们经常会用到<a target="_blank">标签来打开新的窗口这是很常见的操作，大部分人也是这么做的但是其中是有很大的安全漏洞的举例说明 a.html

<html>
	<body>
		<a href='b.html' target="blank">点击跳转b页面</a>
	</body>
</html>

b.html

<html>
	<script type="text/javascript">
		window.opener.location = 'http://www.baidu.com'
	</script>
</html>

PS：window.opener 返回的是创建当前窗口的那个父窗口的引用

把这两个页面放在桌面上，先运行a页面，当打开b的时候，我们可以发现，此时a页面已经跳转到百度了设想一下，假如我在b页面 js中写入的网站是和a页面一模一样的钓鱼网站呢，是不是有可能造成非常严重的后果！！！！所以我们以后在使用a标签的时候切记加上 rel="noopener"属性！！！！不使用 rel=noopener就是让用户暴露在钓鱼攻击上！！！！

本文参与腾讯云自媒体同步曝光计划，分享自作者个人站点/博客。

原始发表：2022-11-02，如有侵权请联系 cloudcommunity@tencent.com 删除

html