[B! javascript][HTML] kikiki-kikiのブックマーク

kikiki-kiki id:kikiki-kiki

javascriptとHTMLに関するkikiki-kikiのブックマーク (2)

リンクを作る時の target="_blank" の危険性 - 隙あらば寝る
html でリンクを新しいタブ(やウィンドウ)で開かせたい場合、target="_blank" を指定するが、この使い方には落とし穴があるらしい。 www.jitbit.com リンクを開いた先の javascript から、開いた元のページを操作できてしまうとのこと。気になったので確認してみた。悪用のパターン insecure.html が最初に開くページで、ここに target="_blank" なリンクがある。このリンクを押すと new_window.html を新しいタブで開く。この new_window.html に javascript が仕込まれており、元ページを操作されるという話。具体的には window.opener.location="./evil.html" と実行すると、元タブは evil.html に遷移する。実際試してみたのがここ。リンクを開
kikiki-kiki 2019/02/08
noopenerが_blankでwindow.openerを操作出来なくするプロパティで、noreferrerはリファラ送らない設定で(今は？)無くても大丈夫だった気が。Edgeがまだno support。wordpressは"noreferrer"→"noreferrer noopener"→"noopener"って変遷ですね。

javascript

html

security
リンク
The performance benefits of rel=noopener - JakeArchibald.com
If you have links to another origin, you should use rel="noopener", especially if they open in a new tab/window. <a href="http://example.com" target="_blank" rel="noopener"> Example site </a> Without this, the new page can access your window object via window.opener. Thankfully the origin security model of the web prevents it reading your page, but no-thankfully some legacy APIs mean it can naviga
kikiki-kiki 2018/12/06
Without "noopener", the new page can access origin window via `window.opener`.

javascript

security

HTML5

HTML
リンク
1