window - 志文工作室

前端开发 禁用 window.opener

一般来说，打开同源(域名相同)的页面，不会有什么问题，毕竟都是一个站点提供的。但对于跨域的外部链接来说，存在一个被钓鱼的风险。

在跨域的情况下，window.opener 拿不到来源页面的具体内容，但是 window.opener.location 却是例外：它可以修改打开它的页面地址。这会带来什么问题？如果你在社交网站上点击了一个钓鱼链接，钓鱼页面本身没有问题，但它却可以悄悄地替换打开它的社交网站页面，从而实现钓鱼以获取用户账号密码等信息的目的。