target="_blank"必须配rel="noopener noreferrer"才安全，否则新页面可通过window.opener篡改原页、窃取referer；合法target值仅_self、_blank、_parent、_top和framename五种。
target="_blank" 是最常用但必须配 rel="noopener"
直接写 target="_blank" 会打开新标签页，但存在安全与性能隐患：新页面能通过 window.opener 访问原页面的 window 对象，可能被恶意页面篡改跳转、窃取数据，还会阻塞原页面的卸载（影响性能）。
正确写法必须加 rel="noopener"（推荐）或 rel="noreferrer"：
<a href="https://example.com" target="_blank" rel="noopener">安全打开</a>
-
rel="noopener"：切断window.opener引用，保留Referer（来源信息） -
rel="noreferrer"：同时去掉Referer和window.opener，适合不想暴露来源的场景 - 不要只写
rel="nofollow"—— 它对 opener 安全毫无作用
target 值不是只有 "_blank"
target 的值决定链接在哪个浏览上下文中打开，浏览器会按名称匹配已存在的标签页或 iframe，不区分大小写。
anything-to-html
下载
将调研报告、方案对比、数据分析、需求梳理、会议纪要、设计说明、代码评审、学习笔记等任务产物输出为可在浏览器直接打开的单文件 HTML，替代 Markdown 作为最终交付物。Markdown 在信息密度、视觉清晰度和可分享性上已跟不上 AI 产物的丰富度，HTML 能同时承载排版、表格、SVG 等。
-
target="_blank"：新建独立标签页/窗口（最常见） -
target="_self"：在当前标签页打开（默认行为，可省略） -
target="_parent"：在父级<iframe></iframe>中打开（若当前页在 iframe 内） -
target="_top"：在整个顶层窗口中打开，打破所有 iframe 嵌套 -
target="my-frame"：在 name 属性为"my-frame"的<iframe></iframe>或<frame>中打开（注意：现代 HTML5 已废弃<frame>）
target 在 iframe 场景下容易失效
如果页面嵌在 <iframe></iframe> 中，且该 iframe 设置了 sandbox 属性（比如 CMS 或第三方平台常用），默认会禁用 target 行为 —— 点击 target="_blank" 可能直接在当前 iframe 内跳转，或完全无响应。
- 需确保 sandbox 属性包含
"allow-popups"才允许弹出新窗口 - 若还需在新窗口中执行脚本（如 analytics），得额外加
"allow-scripts" - 检查控制台是否报错：
Failed to open a new window because of a sandboxed iframe
移动端 Safari 对 target="_blank" 有特殊限制
iOS Safari（尤其旧版本）在某些上下文（如微信内置浏览器、邮件客户端 WebView）中会忽略 target="_blank"，强制在当前页打开，且不触发 rel 安全策略。
- 没有通用 JS 补救方案；依赖宿主环境支持
- 若业务强依赖新窗口（如 OAuth 授权），建议 fallback 到
window.open()并手动处理兼容性 - 注意：
window.open()在非用户手势（如 setTimeout）中会被拦截，必须绑定在 click 事件里
target="_blank" 看似简单，但安全配置、iframe 沙箱、移动端兼容这三点漏掉任一，都可能导致行为不符合预期。前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
