button不支持target属性，浏览器会静默忽略；正确做法是用a标签模拟按钮或JS调用window.open()，且必须添加rel="noopener noreferrer"确保安全。
button加target="_blank"为什么没反应
因为 button 元素根本不支持 target 属性，浏览器会直接忽略它——这不是 bug，是 HTML 规范明确规定的语义限制。你写 <button target="_blank" onclick="location.href='https://a.com'"></button>，target 静默丢弃，跳转仍在当前页发生。
常见错误现象：button 上硬加 target 却无任何报错，让人误以为 JS 逻辑没执行；或者用 formaction 搭配 target，结果发现它只在 <form></form> 内生效，且最终跳转行为由 <form target></form> 决定，和 button 本身无关。
- 真正能用
target的只有<a></a>和<form></form> - 想新开页跳转，必须用
window.open()或改用带样式的<a></a> -
rel="noopener"必须显式加上，否则新页面可通过window.opener访问原页面上下文，存在安全风险
onclick="location.href=..." 和 onclick="window.location.assign(...)" 区别在哪
两者都跳转，但语义和副作用不同：location.href = 'xxx' 是赋值操作，可能意外触发 iframe 重载或历史栈异常；window.location.assign('xxx') 是声明式导航，更清晰、更可控，且不会被某些嵌套环境干扰。
容易踩的坑：
立即学习“前端免费学习笔记（深入）”；
生成可在 deepbi 沙箱 iframe 内运行或作为独立文件运行的交互式 HTML 页面，使用 `window.deepbi` JS SDK 实现数据查询、空间管理、文件浏览及用户操作。当用户提出以下需求时启用该能力： - 创建 KPI 仪表盘、数据表格、文件浏览器、成员列表、管理页面； - 明确要求“转成 dhtml”、“转译成 HTML”、“把 XX 页面转成……”、“控制台页面”、“管理后台”、“DeepBI 页面迁移”； - 提及位于 `apps/console/src/featur
- 不要在
onclick里拼接用户输入（如location.href = '?q=' + userInput），有 XSS 风险 - 如果按钮是
<button type="submit"></button>，不加event.preventDefault()会先提交表单再跳转，导致两次请求 - SPA 场景下（Vue Router / React Router），绝对不能用
location.assign，必须走router.push()或useNavigate()，否则丢失路由状态和守卫逻辑
用 a 标签模拟按钮比 button + JS 更可靠
纯跳转场景下，<a href="/login" class="btn">登录</a> 是更优解：它天然支持 target、rel、键盘回车/空格触发、屏幕阅读器识别，且无需 JS 就能工作。
关键实操点：
- CSS 样式只需覆盖默认链接外观：
display: inline-block、padding、background、border、text-decoration: none - 若需禁用跳转（比如权限不足），加
pointer-events: none+ 灰色样式，比 JS 判断更轻量 - 不要把
<button></button>套在<a></a>里——语义冲突，可访问性差，部分读屏软件会忽略内部按钮
iframe 内部按钮跳转顶层页面失败怎么办
在 iframe 里点击按钮想让整个窗口跳转，用 window.top.location.href = 'https://xxx.com' 是标准写法。但实际常静默失败，原因往往不是代码写错，而是环境限制。
排查重点：
- 外层页面是否设置了 CSP 头
frame-ancestors 'none'？会导致window.top访问被拦截，且控制台无提示 - iframe 是否启用了
sandbox？若没加allow-top-navigation，window.top.location会被浏览器静默屏蔽 - 跳转是否发生在用户手势之后？Chrome 92+ 要求必须是直接点击触发，包裹在
setTimeout或 Promise 回调里的跳转会被丢弃 - 多层嵌套时慎用
window.parent.location.href——它只跳到上一级，不是最外层
跨域 iframe 的 src 修改也受限，目标地址若跨域，document.getElementById("myFrame").src = "xxx" 可能加载失败但不报错，只能靠服务端配合或 postMessage 协作。
