<base target>不能安全统一管理所有链接跳转——它无差别作用于所有未显式声明target的<a>和<form>，包括站内链接；仅影响HTML解析阶段的这两类元素，对JS跳转、iframe src等完全无效，且不自动添加rel="noopener noreferrer"，存在安全风险。
<base> 的 target 属性**不能安全统一管理“所有链接跳转方式”**——它会无差别作用于所有未显式声明 target 的 <a> 和 <form>，包括你本想留在当前页的站内链接。
为什么 <base target="_blank"> 容易翻车
它不是智能识别“外链才新窗口”，而是机械匹配：只要标签有 href 或 action 属性、且没写 target，就强制新窗口打开。
-
<a href="about.html">关于我们</a>→ 被弹出（本该同页） -
<a href="https://example.com">外链</a>→ 被弹出（符合预期） - 第三方 UI 组件里一个没加
target的<a href="#">→ 也弹出，可能破坏折叠菜单逻辑 - Safari 在某些 iframe 场景下对
<base target>支持不一致，行为不可靠
真正可控的外链新窗口方案
只对明确是外链（协议开头）的 <a> 手动加 target 和 rel，不依赖 <base>：
- 用 CSS 选择器精准定位：
document.querySelectorAll('a[href^="http"]:not([href^="' + location.origin + '"])') - 补全属性：
a.target = '_blank'; a.rel = 'noopener noreferrer'; - 如果必须用
<base target>，仅限纯静态页面、且确认所有链接都应同行为（如营销落地页），并额外用 JS 补上rel：
document.querySelectorAll('a[href^="http"]').forEach(a => {
if (!a.hasAttribute('rel')) {
a.rel = 'noopener noreferrer';
}
});
<base target> 不影响哪些跳转
它只管 HTML 解析阶段的 <a> 和 <form>，对运行时行为完全无效：
立即学习“前端免费学习笔记（深入）”；
-
window.location.href = 'success.html'→ 不受控 -
history.pushState()或前端路由跳转 → 不受控 -
<iframe src="page.html">→src解析基准是 iframe 自身 URL，不是主页面<base> -
<a href="/admin/">（根相对路径）→ 不受target影响，但它的解析基准仍由<base href>控制（如果存在）
最常被忽略的一点：<base target> 不会自动加 rel="noopener"，而缺失它会让新开页面通过 window.opener 操控原页面——这是真实的安全漏洞，不是理论风险。
