rel="noopener" 在浏览器解析 标签并创建新浏览上下文时直接跳过设置 window.opener，使新页面的 window.opener 恒为 null 且不可恢复；它必须与 target="_blank" 配合使用才生效，单独使用无效。
rel="noopener" 怎么让 window.opener 变成 null
它不是靠 JS 拦截或运行时过滤，而是浏览器在解析 <a></a> 标签、创建新浏览上下文的那一刻，就跳过设置 window.opener 字段这一步。也就是说，新页面一启动，window.opener 就是 null，永远不可恢复。
你可以当场验证：打开一个带 target="_blank" 但没加 rel="noopener" 的链接，在新页控制台输 window.opener → 返回的是一个真实 Window 对象；换成加了 rel="noopener" 的链接，再输同一句 → 固定返回 null，哪怕跨域也一样。
常见错误现象：
- 只写
target="_blank"，以为“开新页就安全”，实际等于把原页window控制权白送出去 - 误以为
rel="noreferrer"能替代noopener，但在 Safari ≤15.4 或旧 WebView 中，noreferrer不保证window.opener === null
为什么必须和 target="_blank" 一起用才生效
rel="noopener" 是个“条件触发器”：只有当浏览器判定要创建新浏览上下文（比如 target="_blank"、<form target="_blank"></form>、或 window.open(url, "_blank")）时，才会执行 opener 隔离逻辑。
单独在 target="_self" 或 target="_parent" 上写 rel="noopener"，完全无效——既不切断引用，也不影响 Referer。
容易踩的坑：
- 富文本编辑器自动加
target="_blank"，但服务端渲染没补rel，上线即高危 - 写成
<a href="..." rel="noopener"></a>却漏掉target属性，属性存在但零作用 - 用
window.open()开窗时，错误写成window.open(url, "_blank", "noopener")——noopener不是合法 features 字符串，Chrome/Edge 支持"noopener=yes"，但兼容性差，不如回归 HTML 原生写法
rel="noopener noreferrer" 组合的真实分工
noopener 和 noreferrer 解决的是两个独立问题，不能互相替代：
一款AI数据处理工具，主要用于用于查询 Massive 市场数据端点的 Bash CLI 封装和 OpenClaw 技能，适用于 Codex 或 OpenClaw 代理从 shell 调用，适合需要提升相关任务效率的用户。
noopener 是安全底线：强制新页 window.opener === null，防劫持；noreferrer 是隐私补充：让 HTTP 请求头不带 Referer，避免泄露含 token 或路径参数的来源 URL（比如 /admin?user_id=123&token=abc）。
性能上，noopener 还有实际收益：浏览器不用维持两个页面间的上下文关联，原页面能更快进入冻结状态，内存占用略低。
注意事项：
- 顺序建议为
rel="noopener noreferrer"—— 部分 Markdown 渲染器或 HTML 解析器会按顺序取第一个合法值，颠倒可能意外降级 - 如果目标页依赖
document.referrer做白名单校验或来源统计，加noreferrer会导致其为空，需提前协调 - IE 和 Edge Legacy 不支持
rel="noopener"，但已无维护价值，现代项目可不作兼容
现代浏览器还默认加 noopener 吗
不加。Chrome ≥88、Firefox ≥79、Safari ≥14.1 等主流版本明确要求开发者显式声明 rel="noopener"，这是设计选择，不是兼容性遗漏。
所谓“浏览器自动补”仅存在于部分 Chromium 行为中，且非常脆弱：一旦你写了其他 rel 值（比如 rel="nofollow external"），隐式机制立刻失效；Safari ≤12.0 完全不支持；Android 8.0 内置 WebView 也不生效。
Lighthouse、axe 等审计工具仍把缺失 rel="noopener" 标为中高危项，因为合规性看的是确定性防护，不是“多数人用了什么”。
最稳妥的做法，就是每次写 target="_blank" 时，手敲 rel="noopener noreferrer" —— 多敲六个字符，换来的是对 window.opener.location.replace() 类攻击的彻底免疫。
