target="_blank"不加rel="noopener"等于开后门，新页面可跨域调用window.opener.location劫持原页跳转至钓鱼网站，Chrome、Firefox、Safari均支持该行为。
target="_blank"不加rel="noopener"就是开后门
只要链接用了 target="_blank"，又没配 rel="noopener"，就等于把原页面的 window 对象白送给新页面。攻击者在目标页写一行 window.opener.location.href = "https://fake-login.example"，用户刚点开新页，原标签页就已跳转到钓鱼页——整个过程无提示、无报错、跨域也生效。
这不是兼容性问题，是浏览器明确允许的行为。Chrome、Firefox、Safari 全部支持 window.opener 跨域访问（只限 location 和 opener 本身），且不触发同源策略拦截。
- 旧版 Safari（rel="noopener"，但支持
rel="noreferrer"，后者也能让window.opener为null -
rel="noopener"不影响 Referer 头；若需隐藏来源，必须额外加noreferrer - ESLint 的
react/jsx-no-target-blank规则默认会报错，但仅检查是否写了rel，不校验值是否完整
rel="noopener noreferrer" 是当前最稳妥的写法
单独写 rel="noopener" 在现代浏览器中足够安全，但为了覆盖旧版 Firefox（noopener 的环境，必须补上 noreferrer。两者组合不是“多此一举”，而是兜底策略。
rel="noreferrer" 的副作用是禁用 Referer，对广告追踪、分析归因、CDN 权限校验等场景有影响，但对外链、用户生成内容、CMS 输出的链接来说，隐私和安全优先级更高。
立即学习“前端免费学习笔记（深入）”；
- 不要写成
rel="noopener, noreferrer"（逗号分隔）→ 浏览器当无效值处理 - 正确写法是空格分隔：
rel="noopener noreferrer" - 若业务强依赖 Referer（如某些 OAuth 回调校验），可改用
window.open()+ 手动置空opener，但复杂度上升
Markdown、CMS、服务端模板最容易漏掉这一环
开发者常以为“自己写的链接都加了”，却忽略动态生成环节。真实线上漏洞大多出在这里：
- Markdown 渲染器（如 marked、remark）默认给外链加
target="_blank"，但不自动加rel - 富文本编辑器（TinyMCE、CKEditor）导出 HTML 时，若未配置
rel过滤规则，用户粘贴的链接直接裸奔 - 服务端模板（如 Jinja2、EJS）拼接链接时硬编码
target="_blank"，却忘了rel参数 - React/Vue 组件封装
<Link>时，props 未透传rel，或默认值为空字符串
这类地方不会报错，Lighthouse 也未必扫到（尤其 SSR 场景），但攻击面已经打开。
什么时候真能省略rel="noopener"？条件非常苛刻
只有同时满足以下全部条件，才可不加：
- 链接目标是同域路径（如
/help、/api/download），非完整 URL - 该路径对应的页面 JS 完全可控，不含任何第三方脚本（含统计、广告、客服 SDK）
- 你主动需要在新页中调用
window.opener.postMessage()与原页通信（极少见，且应优先用 BroadcastChannel 或 localStorage + storage event 替代）
现实中，只要链接含协议（http://、https://）或域名，哪怕只是 https://yourdomain.com/help，也算“跨域资源加载”，就不能省略。别信“我这个链接很安全”的直觉——安全是机制保障，不是信任判断。
