Jak odłączyć popup JavaScript z otwieraczem

Question

jestem otwierając okienko z mojej strony głównej z kodem tak:

<a href="http://external.domain.tld/" 
    onclick="window.open(this.href, '_blank', 
     'width=512,height=512,left=200,top=100');return false"> 
Open popup 
</a> 

Działa to dobrze, ale moim problemem jest to, że dokument, który jest ładowany w oknie popup ma pozwolenie na zmianę lokalizacji okna otwieracza. Działa to nawet wtedy, gdy dokument w wyskakującym okienku pochodzi z innej domeny. Nie ma uprawnień do odczytu lokalizacji, ale może zmienić lokalizację. Nie chcę tego. Chcę, aby popup był całkowicie odłączony od mojej strony głównej.

Nawet bez JavaScript nie działa. Kiedy otwieram drugą stronę w nowej karcie przy użyciu atrybutu target="_blank" wtedy karta jest nadal dozwolone, aby przejść do okna opener i zmienić jego lokalizację:

<a href="http://external.domain.tld/" target="_blank"> 
    Open in new tab 
</a> 

Jest to kod w otwartym dokumencie, który nie powinien wolno:

<script> 
    opener.location.href = "http://badsite.tld/"; 
</script> 

można zobaczyć na żywo pokaz here. Kliknij jedno z dwóch linków, aby otworzyć inną stronę w wyskakującym okienku lub nowej karcie, która następnie wczytuje trzecią stronę w oknie otwieracza. Właśnie tego staram się zapobiec.

Czy jest jakaś sztuczka, której mogę użyć do przerwania połączenia między oknem otwieracza a otwartym oknem? Idealnie otwarte okno nie powinno wiedzieć, że zostało otwarte w ogóle przez inne okno.

Answer 1

Jeśli strona w oknie dziecko jest w twojej kontroli, można przypisać wartość null do otwieracza na stronie dziecka:

window.opener = null; 

Poprzez to jako pierwsze pismo w JavaScript.

Jeśli strona nie jest w kontroli lub znajduje się w innej domenie, a następnie zrobić to podczas otwierania:

popup = window.open(this.href, '_blank', 'width=512,height=512,left=200,top=100'); 
popup.opener = null; 

Answer 2

Od Doc:

W niektórych przeglądarkach, a rel = "noopener "atrybut na początkowej etykiecie znacznika uniemożliwi ustawienie odwołania window.opener.

Zobacz wszystkich obsługiwanych przeglądarek: https://caniuse.com/#search=noopener

Również dla starszych przeglądarek używać no-gry: https://mathiasbynens.github.io/rel-noopener/

więc poprawka jest zrobić rel="noreferrer noopener" gdziekolwiek używasz target="_blank"