a标签跳转referer漏洞

a标签打开新页面时需要添加  rel="noopener noreferrer" 

否则，在新打开的页面 window.opener 获取到源页面的部分控制权，即使新打开的页面是跨域的也照样可以（例如 location 就不存在跨域问题）。

在 Chrome 49+，Opera 36+，打开添加了 rel=noopener 的链接， window.opener 会为null。在老的浏览器中，可以使用 rel=noreferrer 禁用HTTP头部的Referer属性

如下：

<a href="http://www.baidu.com" target="_blank" rel="noopener noreferrer">百度</a>

 

 

在element UI中 el-link 相当于a标签

     <el-table-column label="查看" prop="url" width="70">     <template slot-scope="{row}">      <el-link :href='row.url'      :underline="false"      target="_blank"      rel='noopener noreferrer'      >      <i ></i>      </el-link>     </template>     </el-table-column>

 

 

另外，可以使用 window.open 打开页面，手动将 opener 设置为 null。

var otherWindow = window.open('http://www.baidu.com');otherWindow.opener = null;otherWindow.location = url;

 

 

参考：

https://blog.csdn.net/huolang110/article/details/80905596

https://element.eleme.cn/#/zh-CN/component/link

 

原文转载：http://www.shaoqun.com/a/481414.html

beien：https://www.ikjzd.com/w/1336

心怡科技：https://www.ikjzd.com/w/1327

焦点科技：https://www.ikjzd.com/w/1831

a标签打开新页面时需要添加rel="noopenernoreferrer"否则，在新打开的页面window.opener获取到源页面的部分控制权，即使新打开的页面是跨域的也照样可以（例如location就不存在跨域问题）。在Chrome49+，Opera36+，打开添加了rel=noopener的链接，window.opener会为null。在老的浏览器中，可以使用rel=no
telegram：https://www.ikjzd.com/w/1734
中国邮政邮乐网：https://www.ikjzd.com/w/1776
港铁免费wifi怎么连接？港铁免费wifi有什么注意事项？：http://tour.shaoqun.com/a/38714.html
中国"新零售"火到欧洲！速卖通被挤爆了！：https://www.ikjzd.com/home/106001
Wish新规：下架的违规产品也逃不过罚款：https://www.ikjzd.com/home/110232