base target属性仅对未显式设target的和<form>生效，不作用于绝对URL、JS导航、iframe等；它非全局开关，易漏控、触发意外弹窗或被CSP/iframe静默拦截。
base 的 target 属性确实生效，但它不是“统一跳转开关”，而是一个仅对未显式声明 target 的 <a> 和 <form> 生效的兜底规则。想靠它控制所有链接行为，大概率会漏掉关键路径、触发意外弹窗，甚至被 iframe 或 CSP 静默拦截。
哪些元素真正受 base target 影响
只影响两类：没写 target 属性的 <a href="...">（且必须是相对 URL，如 href="page.html"），以及没写 target 的 <form>。绝对 URL（href="https://example.com"）、javascript:void(0)、锚点链接（href="#section"）、<iframe src>、<img src>、JS 导航（window.location.href）全部无视 base target。
-
<a href="about.html">→ 尊重<base target="_blank"> -
<a href="https://google.com">→ 不受影响，仍在当前页打开 -
<form action="/login">→ 提交后按base target加载响应 -
<form action="/login" target="_self">→ 显式声明，base被完全忽略
base target="_top 在 iframe 里根本不起作用
嵌套三层 iframe 时，<base target="_top"> 不会让当前 iframe “主动跳出”。它只在用户点击链接时，把目标页面加载进顶层窗口——但前提是那个链接本身被点击了，且外层 <iframe> 带有 allow-top-navigation sandbox 权限，且目标页没返回 X-Frame-Options: DENY。更常见的情况是：静默失败，控制台报 Refused to display 'xxx' in a frame。
- 必须把
target="_top"写在具体<a>上，不能只靠base -
target=_top（无引号）或target="_TOP"（大小写错）会被浏览器忽略 - 若页面里存在
<iframe name="myframe">，又写了<a target="myframe">，则该链接彻底绕过base - JS 触发的跳转（如按钮
onclick中执行window.top.location.href = url）才是 iframe 场景下唯一可靠方式
base target="_blank 必须手动补 rel="noopener noreferrer"
base 不会自动给链接加 rel 属性。不补的话，新打开的页面可通过 window.opener 访问并控制原页面，存在 Tabnabbing 攻击风险，且拖慢原页性能。
立即学习“前端免费学习笔记（深入）”；
- 服务端渲染或构建时批量注入
rel="noopener noreferrer"比依赖base更安全 - 用 JS 补救也行：
document.querySelectorAll('a[href^="http"]:not([rel])').forEach(a => a.rel = 'noopener noreferrer') - Safari 对
base target在 iframe 场景下兼容性较差，脚本补偿更稳妥 - 如果页面用了前端路由（如 React Router），
base target="_blank"可能让内部导航意外跳出 SPA 上下文
base 必须放在 <head> 且只能有一个
位置和数量是硬性限制：不在 <head> 内、或出现两次以上，浏览器会静默忽略整个 <base> 标签。尤其注意 CMS 或微前端场景下，多个模块可能各自尝试插入 base，结果只有第一个生效，后续都被丢弃。
-
href和target可单独使用，但若只设target，href必须存在（哪怕为空字符串） - 本地开发填
/static/能跑，部署到子路径（如/myapp/）后，<base href="/static/">会错误解析为根路径，导致大量 404 - SPA 部署时漏掉结尾斜杠（如
<base href="/myapp">），会导致src="js/app.js"解析成/myappjs/app.js（少了个/）
真正难处理的不是怎么写 <base target>，而是它生效时谁被卷进去了、谁被漏掉了、谁因此变慢或不安全——这些往往上线后才暴露。
