必须基于layedit.getContent()返回的HTML字符串用正则提取外链，排除站内链接后包裹为safeJump跳转结构，并通过sync→修改textarea→sync三步回填编辑器。
layedit.getContent() 后如何批量提取并替换外链
直接操作编辑器 DOM 不可靠，layedit.getContent() 返回的是 HTML 字符串，必须在此基础上做正则解析和安全包装。不能依赖 layedit.sync() 后再去查 DOM —— 此时内容还没写回 <textarea></textarea>，且 iframe 内部结构不可直接访问。
关键点：所有外链识别必须基于最终提交的 HTML 字符串，不是实时 DOM 节点。
- 用
layedit.getContent(editIndex)拿到完整 HTML，再用正则匹配<a href="http://...>%20%E6%88%96%20<a%20href=" https:></a>，注意排除站内链接（如以/、#、javascript:开头的） - 正则建议用：
/<a>]+)href=(["'])(https?:\/\/(?!(?:[^">]*\.)?(?:yourdomain\.com|localhost|127\.0\.0\.1))[^">]+)\2([^>]*)>([^/gi</a>，其中yourdomain\.com替换为你的可信域名白名单 - 替换逻辑不是简单加
target="_blank"，而是包裹成跳转提示结构，例如：<a href="javascript:void(0)" onclick="safeJump('https://xxx.com')">xxx</a>
safeJump 函数必须处理 referer 和新窗口策略
仅靠 onclick 跳转不安全：缺少 referrer 控制、无法拦截恶意协议、不兼容移动端 WebView 的 intent 处理。
推荐实现一个轻量级跳转守门员函数，放在全局作用域（确保 layer 弹窗或 iframe 子页里也能访问）：
function safeJump(url) {
// 基础校验
if (!url || !/^https?:\/\//i.test(url)) return;
// 防 open redirect：只允许标准协议 + 域名 + 路径，拒绝 fragment 或 query 中含 js:、data: 等
try {
const u = new URL(url);
if (u.protocol !== 'http:' && u.protocol !== 'https:') return;
if (u.hostname.includes('evil') || u.search.includes('javascript:')) return;
} catch(e) {
return;
}
// 提示层（复用 layer.msg 风格，但可点击）
layer.msg('即将跳转至外部网站，是否继续？', {
time: 0,
btn: ['继续', '取消'],
yes: function() {
window.open(url, '_blank', 'noopener,noreferrer');
}
});
}
- 务必加
noopener,noreferrer，防止 opener 泄露和 referrer 泄露 - 不要用
window.location.href = url，那会覆盖当前页，对弹窗或 iframe 场景极不友好 - 如果子页面是
type:2iframe，该函数必须定义在子页 JS 中，父页无法跨域调用
layer.open type:1 弹窗中替换后的内容如何回填到 layedit
很多人卡在这里：替换了 HTML 字符串，但没写回编辑器，提交时还是原始内容。
layedit 不支持直接 set HTML，必须走“同步 → 修改 textarea → 再 sync”路径：
- 先调用
layedit.sync(editIndex)，确保当前编辑内容已写入<textarea id="myEditor"></textarea> - 再用
$('#myEditor').val(modifiedHtml)替换整个值（注意：这会清空光标位置，但提交场景下无影响） - 最后再调用一次
layedit.sync(editIndex)，把新 HTML 同步进编辑器 iframe 内容区，否则界面上看不到变化 - 如果用 form submit，记得在
form.on('submit', ...)里执行这套流程；如果用 AJAX，就在$.post()前做
移动端点击外链提示层消失快、点不中的问题
iOS Safari 和部分安卓 WebView 下，layer.msg 的 btn 在 touchend 后容易失焦，导致点击无响应。
更稳的方案是不用 layer.msg，改用 layer.open 自定义 content：
layer.open({
content: '<p style="padding:15px;">您将离开本站，前往外部网站<br><small style="color:#999">' + url + '</small></p><div class="layui-layer-btn"><span class="layui-layer-btn0">继续</span><span class="layui-layer-btn1">取消</span></div>',
btn: [],
success: function(layero) {
layero.find('.layui-layer-btn0').on('click', function() {
window.open(url, '_blank', 'noopener,noreferrer');
layer.closeAll();
});
layero.find('.layui-layer-btn1').on('click', function() {
layer.closeAll();
});
}
});
- 避免使用
layer.msg的btn数组方式，它在移动端事件绑定不稳定 - 自定义 content 中手动绑定 click，确保事件委托生效
- 注意：这个 layer 必须在 layedit 所在上下文（父页或子页）中调用，否则
window.open可能被浏览器拦截
