target=''_blank" な <a> タグに noopener だけでなく noreferrer も付けるべきか - mizdra's blog

追記 2020/10/29: モダンブラウザによって noreferrer が自動的に付与されつつある、という説明をしていましたが、正しくは noopener の間違いでした。失礼しました。既に記事の方は修正済みです。 追記終わり。 target="_blank" は新しいタブでリンク先を開くためのオプションです しかし、これにはリンク先のページからリンク元のページの window オブジェクトにアクセスできるという、ちょっと癖のある挙動があります この挙動自体は脆弱性ではありませんが、 フィッシング詐欺などに悪用される可能性がある、危険な挙動であることが知られています リンクのへの rel=noopener 付与による Tabnabbing 対策 | blog.jxck.io noopener そこで一般には、target="_blank" な <a> タグには noopener を指定

[todays_mitsui]

勉強になる

[tsutaken]

そろそろnoreferrerは外そうかな…

[mangano-ito]

リファレンスになる

[onk]

リンク先や UA を見て出力変える Link (リンク先が origin かどうか、target="_blank" かどうかを判定して noopener を付ける、必要に応じて noreferrer も付ける) を作るのが正着なのかなー