火狐浏览器默认拦截非用户主动触发的window.open()，因其判定为潜在广告或恶意跳转；仅允许在click、keydown等用户事件的同步执行上下文中调用，异步操作（如promise.then）会中断信任链导致拦截。
火狐浏览器默认拦截前端代码中非用户主动触发的 window.open() 请求，是因为它将这类行为判定为潜在广告或恶意跳转——只要调用不在点击、按键等明确用户交互事件的同步执行路径内，就会被立即阻断。
浏览器拦截的核心判定逻辑
火狐仅允许 window.open() 在用户操作（如 click、keydown）的事件处理函数**同步执行上下文**中调用。一旦进入异步链（如 setTimeout、Promise.then、axios.then），哪怕延迟 1 毫秒，浏览器也认为该弹窗失去用户意图依据，直接拦截。
这并非 bug，而是 Firefox 自 2018 年起强化的隐私保护策略：切断未经许可的自动窗口打开行为，防止钓鱼页面、诱导订阅浮层、支付劫持等攻击面。
为什么 AJAX 回调里调用一定会被拦
在按钮点击后发起请求，再于响应成功回调中执行 window.open()，这个调用已脱离原始点击事件的“信任链”。浏览器无法确认弹窗是否由用户真实意愿驱动，因此强制拦截。
【关键前提】 浏览器不追踪 JS 执行源头是否“源自用户”，只检测调用栈是否处于用户事件的直接同步帧内。AJAX 回调属于微任务，天然不满足该条件。
验证是否被拦截的最快方式
打开开发者工具（Ctrl+Shift+I），切换到“控制台”标签页，手动输入 window.open('https://example.com') 并回车——如果地址栏右侧立刻出现灰色盾牌图标并提示“已阻止弹出窗口”，说明拦截机制正在生效。
此时刷新页面，再点击一个绑定了 onclick="window.open('https://example.com')" 的按钮，弹窗会正常打开。两次对比即可确认拦截是否依赖调用上下文。
前端绕过拦截的可行方法
方法一：用 <a></a> 标签模拟点击（推荐）
创建一个临时 <a></a> 元素，设置 href 和 target="_blank"，然后调用其 click() 方法。浏览器将该行为识别为用户触发的导航，而非脚本弹窗。
方法二：先开空窗，再重定向
在用户点击时立即执行 window.open('', '_blank') 获取窗口引用，随后在异步完成后再赋值 newWin.location.href = 'https://pay.example.com'。此法需确保首次调用严格位于事件同步路径中。
方法三：改用 location.assign() 或 location.replace()
若业务允许覆盖当前页，直接跳转可彻底规避弹窗拦截。但支付类场景通常要求保留原订单页，故该法适用性受限。
如何为可信网站添加弹窗白名单
第一步：访问目标网站（如 https://bank.example.com）
第二步：点击右上角三条横线 → 设置 → 隐私与安全 → 向下滚动至“权限”区域
第三步：点击“阻止弹出式窗口”右侧的“例外…”按钮
第四步：在“网站地址”框中输入完整 URL（必须含 https:// 或 http:// 协议头），例如 https://bank.example.com
第五步：点击“允许”，然后滚动到底部点击“保存更改”
【不可逆操作】 白名单仅对输入的精确域名生效，https://bank.example.com 不会自动覆盖 https://admin.bank.example.com，子域名需单独添加。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
