rel="noopener"是target="_blank"的安全底线，缺失会导致反向标签劫持攻击；它仅在配合非_self的target时生效，且必须小写、无连字符；Chrome 88+默认隐式启用，但Safari/Firefox仍需显式声明。
target="_blank" 不加 rel="noopener" 就是安全漏洞
新打开的页面能通过 window.opener.location.replace() 把你的原页面跳转到钓鱼页，这是真实发生过的反向标签劫持（reverse tabnabbing）攻击。TikTok 2023 年就因此被利用过。
关键点在于：rel="noopener" 只有配合 target="_blank"（或非 _self 的 target 值）才生效；单独写它，浏览器直接忽略。
- Chrome 88+ 默认隐式启用 noopener，但 Safari、Firefox 仍需显式声明，不能依赖
-
rel="noreferrer"在多数现代浏览器中会附带 noopener 效果，但不是规范强制行为，不可靠 - 必须写成
rel="noopener"，而不是rel="no-opener"或大写NOOPENER，否则无效
rel="noreferrer" 不只是隐私开关，还影响 Referer 策略
rel="noreferrer" 会让浏览器完全不发送 Referer 请求头，同时清空 document.referrer。但它和 rel="noopener" 职责不同：前者防 XSS，后者保隐私，二者不互斥。
更可控的替代方案是用 referrerpolicy 属性：
anything-to-html
下载
将调研报告、方案对比、数据分析、需求梳理、会议纪要、设计说明、代码评审、学习笔记等任务产物输出为可在浏览器直接打开的单文件 HTML，替代 Markdown 作为最终交付物。Markdown 在信息密度、视觉清晰度和可分享性上已跟不上 AI 产物的丰富度，HTML 能同时承载排版、表格、SVG 等。
立即学习“前端免费学习笔记（深入）”；
- 想彻底不发 Referer →
referrerpolicy="no-referrer" - 只在跨域时不发、同域照常发 →
referrerpolicy="strict-origin-when-cross-origin" -
rel="noreferrer"等价于referrerpolicy="no-referrer"，但粒度更粗、无法动态调整
SEO 场景下，nofollow / ugc / sponsored 不是越多越好
rel="nofollow" 不是“禁止收录”，只表示“不传递权重”。目标页仍可能被其他路径发现并索引。Google 自 2019 年起将其视为提示而非指令，更推荐语义明确的替代值。
- 用户生成内容（评论、论坛帖）→ 用
rel="ugc"，比nofollow更准确表达意图 - 广告、联盟链接、软文 → 必须用
rel="sponsored"，否则可能违反 Google 赞助内容政策 - 多个值可共存：
rel="ugc noreferrer"合法，rel="ugc sponsored"也合法，但语义上已重叠 -
rel="external"纯属前端语义标记，搜索引擎不识别，别指望它影响 SEO
rel 属性写错值或乱组合，轻则失效，重则引入风险
rel 是少数几个既影响运行时行为又参与 SEO 判定的属性。写错值不会报错，但浏览器可能直接忽略，或触发未预期行为。
- 拼写错误如
rel="no-follow"、rel="NOFOLLOW"全部无效 -
rel="noopener"单独用于无target的链接，等于没写 -
rel="canonical"是<link>标签专用，出现在<a>里毫无意义 - 混淆
<a>和<link>的rel用途：前者描述「页面与目标页关系」，后者描述「页面与资源关系」
rel="noopener" 当成可选优化项——它其实是 target="_blank" 的安全底线，漏掉就是线上可利用漏洞。 
