How to become an author
Search
Write a publication
Pull to refresh

Comments 136

Вот это да! Это же сколько всяких пакостей можно наделать то…
Total votes 9: ↑9 and ↓0+9
Ваша ссылка мне на глаза попалась один раз во время поиска различных вариантов решения проблемы и не является источником для данной статьи.
Для всех остальных, кто считает что оригинал статьи https://medium.com/@jitbit/target-blank-the-most-under... — сравните для начала дату публикации. Моя статья вышла 3го мая. Англоязычная — 4го.
Total votes 2: ↑2 and ↓0+2
Я не выкатил ссылку, как источник (может быть и статья по ссылке не первоначальная). Всего лишь пример того, откуда вы могли взять информацию (извиняюсь пред хабравчанами, что этого не написал), который я видел НАМНОГО раньше вашей статьи.
Но указывать источник было бы неплохо. Особенно, если вы привнесли какую-то лепту и дописали пару слов от себя. Чего стесняться?
Total votes 4: ↑0 and ↓4-4
Что нужно считать источником? источник вдохновения для написания статьи был закрытый репорт в FB со словами «спасибо, мы уже знаем о проблеме» (собственно как и в комментарии ниже) и официальная позиция Google на этот счет. А о проблеме, мне лично, стало известно, с паблик репортов на hackerone.
Total votes 2: ↑2 and ↓0+2
Есть у одних решений какие-то преимуществ/недостатки перед другими? Вот мне больше нравится первое за простоту. Зачем мне может понадобиться использовать какое-то другое решение?
Total votes 1: ↑1 and ↓0+1
Другие варианты больше подходят тем, у кого, к примеру, много ссылок, ссылки в контенте и тд. Что бы подключив на все страницы скрипт — решить проблему. Еще пишут за возможные проблемы с обработкой в Safari, только, к сожалению, пока нет возможности это протестить.
Total votes 1: ↑1 and ↓0+1
5. Не использовать target="_blank". Очень раздаражают сайты, которые считают, что они умнее меня. Я сам в состоянии решить, в какой вкладке мне нужно открыть ссылку.
Total votes 55: ↑23 and ↓32-9
Ну заведете свой сайт, будете делать как хотите. Только думаю очень быстро поймете, особенно если сайт будет коммерческий, что вам не выгодно, чтобы пользователь открывал внешнюю ссылку с вашего сайта в той же вкладке, т.к. это означает, что он закрыл ваш сайт, а как вернуться скорее всего не знает. Даже боюсь представить как вы тогда будете раздражены.
Total votes 60: ↑51 and ↓9+42
Если мне надо перейти по ссылке, я жму на ссылку левым кликом. Если мне надо открыть ссылку в новой вкладке, я открываю ее в новой вкладке. Все просто, все логично, все удобно.
Total votes 34: ↑14 and ↓20-6
UFO just landed and posted this here

Что в таком случае эти пользователи делают на вашем сайте? Найти и нажать на кнопку Оплатить для них точно также будет нерешаемой задачей. Не говоря уже о том, что платежные реквизиты как-то нужно вводить, а это точно будет происходить не на вашем сайте.

Total votes 42: ↑8 and ↓34-26
UFO just landed and posted this here
Я вас разочарую. Пользователи, не знающие о кнопке Back, не смогут закрыть/перейти на другую вкладку. Этот вывод я сделал на основе длительных наблюдений за неопытными пользователями.
Total votes 10: ↑4 and ↓6-2
UFO just landed and posted this here
UFO just landed and posted this here
рефлекса нет

Все люди разные. Я, например, практически все ссылки открываю через ctrl
Total votes 1: ↑1 and ↓0+1
У меня на это дело выделена целая кнопка-колесо мыша)
Total votes 5: ↑5 and ↓0+5
В Firefox с помощью плагинов (например Tab Mix Plus) открытие в новой вкладке делается стандартным поведением.
This comment wasn’t rated yet0
Вот что раздражает когда хабр этот _blank пихает зачем-то для внутренних ссылок.
Total votes 1: ↑1 and ↓0+1
Предполагаю, фишка в том, что линк может вести на другую страницу. Вот, например, я читаю твой коммент и жму линк — он открывается во второй вкладке. Смотрю, что там за инфа, закрываю вкладку и легким кликом мыши возвращаюсь к сему комменту с линком, под которым пишу ответ.
Стоит ли говорить, что если б линк открывался в этой же вкладке, мне б пришлось как минимум воспользоваться кнопкой «бэк» и еще пролистать страницу, чтобы найти нужный коммент?
This comment wasn’t rated yet0
Кроме того, ещё и сбросятся все «непрочитанные» комментарии.
Total votes 3: ↑3 and ↓0+3
В случае если ссылка ведёт на эту же страницу комментарии не потеряются.
А вообще сброс непрочитанных комментариев при обновлении страницы плохая идея.
Total votes 4: ↑4 and ↓0+4
Это не сложно определить ведёт он на другую или на эту страницу. Я говорю о ссылках на комментарий на текущую страницу.
Тут же якори. Нажал просто переместило на позицию комментария, без обновления страницы. Нажал назад опять же переместило обратно без обновления. Пролистывать не нужно.
Total votes 1: ↑1 and ↓0+1
ммм… а попробуйте нажимать колесиком ;-)

но вы говорите от лица неопытного пользователя, и я как скромный сайтостроитель категорически с вами не согласен, вы бы это тоже поняли если бы понаблюдали за реальным поведением разных пользователей на сайте. ну через вебвизор к примеру.
Total votes 7: ↑6 and ↓1+5
ммм… способы открытия ссылок в новой вкладке не ограничиваются средним колесиком мыши. Я обозначил задачу, а решает ее каждый сам, так как ему удобно. Хоть через контекстное меню, хоть контрол зажимает и тд.

И говорю от лица опытного пользователя. Которорый перекращает пользоваться сайтами, которые ведут себя непредсказуемо.
Total votes 6: ↑4 and ↓2+2
Контрольный вопрос: чем вы пользуетесь вместо Гугла и Яндекса? Они ведь тоже ведут себя «непредсказуемо».

Культурные особенности, кстати: в US, к примеру, Гугл так себя не ведёт по умолчанию, а в России… пришлось, да.
Total votes 4: ↑3 and ↓1+2
У нас похоже разные понятия о предсказуемости. Раз столько негатива вызывает просто уточнение в ответ на непонимает, то нестоит что-то обсуждать.
This comment wasn’t rated yet0
Контрольный вопрос: чем вы пользуетесь вместо Гугла и Яндекса?
DuckDuckGo. Технически, возмозможно, это результататы Google или Яндекс, но с точки зрения конечной веб-страницы, очень адекватный сайт.
This comment wasn’t rated yet0
средним колесиком мыши
А есть другие?!
Total votes 1: ↑1 and ↓0+1
UFO just landed and posted this here
Особенно «колёсико» актуально на смартфоне и планшете.
Извините, наболело как со стороны пользователя, так и боль со стороны разработчика.
Total votes 4: ↑4 and ↓0+4
Ага… особенно хорошо когда после перехода по такой ссылке убивается история переходов и назад уже не вернуться (уже не мало раз натыкался на такие сайты). Уж лучше в этом плане предсказуемый target="_blank" для внешних сайтов.
This comment wasn’t rated yet0
Но в идеале если ваш сайт что-то вроде форума где есть настройки можно дать пользователю самому выбрать желаемое поведение.
Гугл в этом плане раздражает что навязывает открытие новой вкладки.
Total votes 1: ↑1 and ↓0+1
Ну как сказать. В адресной строке есть такой параметр — newwindow=1. Вот он и отвечает за то, чтоб ссылки открывались в текущем окне или в новом. А раз он там есть, то должна быть и настройка, чтоб его менять.
This comment wasn’t rated yet0
Очень стыдно за человечество, которое не знает про Ctrl+Click, Alt+Click.
Total votes 13: ↑1 and ↓12-11
Сделаете такое для планшетов и смартфонов — подозреваю, что прогремите на весь ИТ мир.
Total votes 11: ↑10 and ↓1+9
UFO just landed and posted this here
UFO just landed and posted this here
Вторая рука занята, друг, рука занята!
Total votes 1: ↑1 and ↓0+1
Есть мышки с модификаторами. И тачпады/трекпоинты неподалёку от Ctrl. И вообще, можно навигироваться с клавиатуры, причём не обязательно бегая стрелочками по всем элементам.
Total votes 1: ↑1 and ↓0+1
Есть много ситуаций, когда использование target=_blank объективно полезно и даже необходимо.
Total votes 4: ↑3 and ↓1+2
Было бы интересно взгялнуть на пример.

Я вот считаю, что никакой автоматический алгоритм эту задачу решить не может (если бы мог, я бы уже давно написал расширение для своего браузера). На примере того же Facebook: иногда я нахожу сам пост бесполезным, и все, что мне нужно — поскорее перейти на сайт. А иногда я хочу присоединиться к дисскусии в комментариях, и после просмотра сайта я хочу вернуться в то же место, с которого начал. Итого, мое решение об открытии ссылки в той же вкладке, или в новой, принимается мной на основе анализа содержимого исходной страницы. И простыми регулярками тут уже не обойдешься.
Total votes 8: ↑1 and ↓7-6
Самое банальное — форумы/комментарии и ссылки в них на внешние сайты.
Во-первых, я ещё не дочитал обсуждение и почти наверняка захочу к нему вернуться.
Во-вторых, я мог начать набирать ответ и его нельзя потерять.
Total votes 5: ↑4 and ↓1+3
Во-первых, я ещё не дочитал обсуждение и почти наверняка захочу к нему вернуться.
Зависит от того, как я попал на этот сайт. Если я искал решение проблемы через Google, то этот форум — только дополнительный посредник. В большинстве случаев я понимаю сразу, что именно по этой ссылке находится решение. И форум этот я хочу скорей закрыть.
Во-вторых, я мог начать набирать ответ и его нельзя потерять.
Тот редкий случай, когда бы я простил сайту confirm на unload.
Total votes 6: ↑1 and ↓5-4
Для случаев, когда пользователь начал набирать текст и случайно закрыл страницу, нужно реализовывать сохранение данных, введенных в форму. Это немного сложнее confirm на unload или там target blank, но более адекватно.
Total votes 1: ↑1 and ↓0+1
Сохранять данные в форме полезно, но это должно быть дополнительным эшелоном защиты, а не единственным.
Лучше избежать проблемы вообще, чем подпирать её костылями.
Total votes 1: ↑1 and ↓0+1
Ну, confirm без js не реализовать, насколько я понимаю.

А раз так, то лучше уж сделать изящное решение: настройки сохранять автоматически, какие-нибудь контентные данные, чаты, статьи — сохранять данные в форме и восстанавливать при релоаде.
Пароли не сохранять, понятно. Сверху к этому прикрутить сохранение данных при потере сети в local storage или вроде того.

В идеальном случае пользователь просто не заметит этого всего. А вот если что-то пойдет не так — будет приятно удивлен.

Полностью проблемы не избежать, в конце концов. Более того, меня бы раздражало сообщение при закрытии страницы, если я вдруг передумал отправлять форму.
This comment wasn’t rated yet0
Есть задумка автора сайта/[UX-]дизайнера/… и есть ваши личные хотелки. Я считаю что у _обоих_ должен быть инструмент влияния на то, что происходит при щелчке на ссылку. Мне как пользователю бывает досадно, например, когда забыл «принудить» новую вкладку, а сайт со своей стороны тоже не позаботился. Представляешь, если «нагоняешь» непрочитанные сообщения в какой-нить «infinite-scroll» ленте, позицию в которой не восстановишь кнопкой ;-)

P.S.: возможно, в браузеры не помешало бы добавить функцию «открыть принудительно в текущей вкладке» (по аналогии с контрол-кликом), но это не отменяет полезности тэга «target».
This comment wasn’t rated yet0
В Опере 12 есть принудительное открытие в текущей вкладке (правый клик — Открыть).
Total votes 1: ↑1 and ↓0+1
«infinite-scroll» ленте
То есть проблема в _blank, а не в таких лентах?

Меня на Ютубе сие бесит. Для долгосрочных дискуссий интерфейс вообще не пригодный. Пагинацией и не пахнет, просмотром отдельных комментариев тоже. Поискал расширения какие, приложения для комментирования — не видать. Думал сам что-то наварганить, глянул запросы — а там AJAX куски HTML возвращает, как в старые добрые. Гляну публичный API ещё, может, хоть там что-то вменяемое.
Total votes 1: ↑1 and ↓0+1
Не знаю за что Вас так заминусовали, но я согласен с вами (Жаль, что нет кармы апнуть коммент). target="_blank" — это одна из причин, почему я не могу пользоваться яндекс поиском, ужасно раздражает!
Total votes 5: ↑2 and ↓3-1
Я тем более не понимаю, почему люди, кричащие о недопустимости контроля Интернета со стороны государства, принуждают меня открывать ссылки в новых вкладках, потому что НАМ ТАК ВЫГОДНО!!!11.

Напомнило


К счастью, запас ранее накопленной кармы позволяет со спокойствием относиться к такому весеннему обострению.
Total votes 3: ↑1 and ↓2-1
не то слово.
«Не умножай сущности без необходимости», говорят тебе мудрые олдскульные разработчики, %юзернейм%
Total votes 2: ↑2 and ↓0+2
жму руку!

(как же раздражает невозможность плюсануть комментарий старее пары дней.
Если ты в основном занят и читаешь сайт эпизодически или случайно обнаружил интересный топик в еженежельном дайджесте, то, увы… упс. Ты превращаешься в пассивного наблюдателя. В результате чего возможность поставить оценку остается только у специального контингента юных бездельников (не в обиду юным бездельникам будет сказано), у которых, должно быть масса времени на ежедневное чтение всякой «цифровой макулатуры», что безусловно сказывается на качестве материалов и в перспективе приведет Хабру к полному унынию. К бабке, что называется, не ходи).
Total votes 3: ↑3 and ↓0+3
Хотел плюсануть ваш комментарий, но не смог — срок уже вышел! :)
Total votes 5: ↑5 and ↓0+5
Или открывать ссылки в той же самой вкладке, без любых извращений. Если пользователю надо — он сам откроет в новой вкладке. Сайты стали слишком много решать за нас, мне кажется.
Total votes 11: ↑6 and ↓5+1
У меня такая привычка: если хочу открыть ссылку в новой вкладке, то жму на колесо мыши(браузер Chromium). При таком раскладе подмены страницы не происходит, а если просто кликнуть левой кнопкой то подмена работает.
Какая полезная привычка :)
Total votes 12: ↑12 and ↓0+12

У меня такая же привычка. Ещё со времен, когда нужно было некоторое время ждать загрузки страницы. Открываешь новую страницу через колесо мыши и пока она грузится ты дочитываешь прошлую страницу. С таким раскладом и правда не работает данная уязвимость, подтверждаю :)

Total votes 4: ↑4 and ↓0+4
Сработает так же при ctr + click, только пример на это не рассчитан так как пользователь сразу заметит срабатывание редиректа на странице, на которой нажал на ссылку. По идее решается переносом кода в window.onfocus
This comment wasn’t rated yet0
При таком раскладе подмены страницы не происходит

Что кстати говоря ещё больше удивляет — а зачем они сделали именно такое поведение для target=_blank? По логике вещей открытие колесом или иным способом в новой вкладке вручную, не должно принципиально отличаться от target=_blank. Т.е. или этого несчастного opener-а не должно быть вовсе, либо он должен быть и при middle-клик-открытии.

Total votes 1: ↑1 and ↓0+1
Я так понимаю поведение при клике левой кнопкой по ссылке с «target=_blank» каким-то образом стандартизировано, а вот клик колесом это уже функционал конкретного браузера и они сделали как им хотелось(без opener'а).
This comment wasn’t rated yet0
Фейсбук быстро среагировал )
При просмотре вашего поста и переходе по ссылке(фишинг, все дела), меня разлогинивает в оригинальном ФБ, и после логина вижу:

«Ваш аккаунт временно заблокирован»....«Скорее всего, ваш аккаунт был взломан в результате ввода вашего пароля на похожем на Facebook веб-сайте. Такой тип атаки называется фишингом. Подробнее в Справочном центре.»

Похоже они как-то автоматически палят потенциальный фишинг, включая window.opener и помечают аккаунты как suspicious
Total votes 8: ↑8 and ↓0+8
Продолжу: если вы не уверены, что сможете сразу ввести код проверки из смс или ответ на контрольный вопрос для разблокировки аккаунта — не ходите по ссылке на пост FB из примера.
Total votes 2: ↑2 and ↓0+2
Ещё пароль заставили сменить. Хорошо бы в статью предупреждение добавить.
Total votes 4: ↑4 and ↓0+4
Добавил, скрыл публикацию в FB.
Total votes 6: ↑6 and ↓0+6
Это было трудно, но я всё-таки прошёл капчу фейсбука.
Total votes 2: ↑2 and ↓0+2

Опа… в Firefox rel="noopener" пока еще не работает :(

Total votes 3: ↑3 and ↓0+3
Да, действительно. Зато работает rel=«noreferrer»
Total votes 4: ↑4 and ↓0+4

Это хорошо! Пойду добавлю к ссылкам rel="noopener noreferrer"

This comment wasn’t rated yet0
Одновременно поломав передачу HTTP_REFERER по вашим ссылкам. В лучшем случае принимающая сторона не посчитает вас, как источник трафика, в худшем могут не засчитать какие-то рекламные переходы… не очень хороший костыль
Total votes 1: ↑1 and ↓0+1
Это имеет смысл в поисковиках. Я натыкался на сайты, которые вызывали условный редирект, для некоторых рефереров (поисковиков). Пока я не врубился, что происходит (пришлось подебажить сайт, хорошо быть клиентским разработчиком), не смог прочитать нужную мне информацию. Естественно, гневный отзыв владельцу сайта был написан, но я не проверял, услышан ли он был.
This comment wasn’t rated yet0
Только что протестил, всё еще хуже, в том числе в обозримом будущем…
rel=«noopener» — так же лишает HTTP_REFERER (Chrome 49.x), т.е. очень похоже что это «костыль» или alias на всё тот же nofollow… всё плохо в индустрии… :(
This comment wasn’t rated yet0
А я как-то пытался вообще бороться с этим target=_blank и в общем не нашёл нормального метода без использования Firefox addons. Есть, например, такой способ:
about:config:
set browser.link.open_newwindow 1

Отлично работает, но если кликать где-то вне браузера, то активная ссылка в браузере заменится той, на которую кликнули, вместо открытия новой вкладки. Так что решение не подходит.
А нужно было это затем, что:
1) да, я опытный пользователь и знаю как и где мне открыть новую вкладку, если это нужно;
2) напрягают сайты, которые в своей же строке поиска уводят меня на другую вкладку, хотя я перемещаюсь в пределах одного и того же сайта. (например поиск azlyrics.com).
This comment wasn’t rated yet0
Дыра в CSP. Поправят в 3 версии, собсна как и проблеу с 
<a href=blob://></a>
Total votes 1: ↑1 and ↓0+1
Это точно распространяется на https?
This comment wasn’t rated yet0
На хабре много подобных стабильно «повторяемых» тем. Чего стоят регулярки и валидация email :)
Total votes 10: ↑10 and ↓0+10
Уже давно эксплуатируется недобросовестными рекламщиками: клик по банеру открывает новую вкладку, в которой открывается страница, с которой перешли, а в предыдущей вкладке открывается рекламируемый сайт.
В чем преимущество такого поведения не понятно, но напрягает. Интуитивно закрываешь рекламную страницу, теряешь историю, введенную информацию и тд.
Total votes 4: ↑4 and ↓0+4
Именно в этом и заключается их цель — отучить пользователя на автомате за пол секунды закрывать еще не прогрузившуюся рекламную страницу.
Total votes 2: ↑2 and ↓0+2
Написать расширение к браузеру. И на каждую страницу добавлять это:

window.opener = null;
This comment wasn’t rated yet0
Давным-давно уже разобрали эту тему юзабилити эксперты (например, Якоб Нильсен еще в 1999 году). К сожалению, не смог найти более развернутый пост на эту тему, но полностью согласен: существует несколько способов отрыть ссылку в новом окне, но не существует ни одного способа открыть ее в это же окне, если вы прописали там target.

После этого аттрибут target был удален из Strict спецификаций (HTML4 & XHTML), ну да кто об этом знает? Все просто писали себе doctype-ы.

А вранье про заботу о мобильных клиентах, которые хотят открыть ссылку в новой вкладочке. Я уж не говорю, что загруженные страницы нынче могут сжирать неприлично памяти, но есть еще и ограничение на количество открытых окон браузера. Или вы сейчас скажете, что никогда не встречали уведомления, что «Достигнут максимум открытых окон, ссылка открыта не будет».

Перестаньте использовать эту мерзость. Займитесь лучше повышением культуры пользования браузером у ваших мам. Кстати да, моя мама не понимает что такое новая вкладка, или, например, другой документ в MDI-интерфейсе (Word & Excel, например, хотя эти нынче используют нестандартную реализацию с выносом кнопки в панель задач). А кнопки Вперед-Назад у нее всегда на виду и предельно понятны. И кстати, на телефоне кнопка Назад аж хардварная.

Ну и коротенько о «оставить ценного пользователя на своем сайте». Когда пользователь начинает подчищать вкладки, уверен на 70%, что он закроет и Ваш сайт, не льстите себе. А иногда и случайно ткнув крестик.

Так что перестаньте нести ерунду! Оставьте за пользователем право открыть ссылку, как ему нравится.
Total votes 17: ↑6 and ↓11-5
Для случайного клика на крестик есть Ctrl+Shift+T
Total votes 1: ↑1 and ↓0+1
>А вранье про заботу о мобильных клиентах, которые хотят открыть ссылку в новой вкладочке.
Я хочу, чтобы ссылки открывались в новой вкладке по дефолту, когда я с планшета. Да и не только когда я с планшета, а, пожалуй, всегда. А если я захочу открыть ссылку в той же вкладке я согласен сделать контрол-клик.

>Я уж не говорю, что загруженные страницы нынче могут сжирать неприлично памяти
Плевать, у меня в планшете 4ГБ оперативы.

>Или вы сейчас скажете, что никогда не встречали уведомления, что «Достигнут максимум открытых окон, ссылка открыта не будет».
Никогда не встречал.

>А кнопки Вперед-Назад у нее всегда на виду и предельно понятны
Нажимая кнопку «назад» на Хабре с сношу себе всю статистику по непрочитанным комментам. Восстановить эту информацию невозможно, насколько я понимаю.

Я открываю страницу в той же вкладке в 2 случаях, когда я целенаправленно хочу уйти с сайта и когда я перехожу на новую страницу форума/ленты хабра/etc. В остальных 98% случаев я всегда открываю ссылку в новой вкладке. Так что, юзкейсы у всех разные, не нужно думать, что ваш единственно верный.
Total votes 3: ↑1 and ↓2-1
Вы кагбэ и не противоречили мне. Ну почти. По-крайней мере в той части, где вы целенаправленно хотите уйти с сайта. Так вот, если владелец непонравившегося вам сайта решил, что вам нужно открыть новую вкладку, у вас не останется выбора. Речь в моем посте, и исследованиях британских ученых, если хотите, именно об этом.

Еще раз. Вам никто не запрещает открыть ссылку в новом окне. Но расскажите мне, где вы видели пункт меню в браузере «Открыть в этой же вкладке»
Total votes 1: ↑0 and ↓1-1
Ну как же не противоречит, когда я на все ваши аргументы привел контраргументы?

Еще раз. Вам никто не запрещает открыть ссылку в новом окне. Но расскажите мне, где вы видели пункт меню в браузере «Открыть в этой же вкладке»

Еще раз, я хочу, чтобы можно было все ссылки всегда открывать вмновом окне и только по специальному действию типа контрол-клик открывать их в том же. Сейчас браузеры не имеют подобной настройки, открывать ссылки в новом окне на планшете неудобно. Поэтому я рад, что разработчики некоторых сайтов идут навстречу пользователям. Конечно, было бы лучше, чтобы подобное поведение настраивалось, но пока имеем, что имеем.

В конце концов вам никто не мешает скопировать адрес ссылки и вставить ее в адресную строку того же окна. Или кликнуть на ссылку и нажать на крестик.
This comment wasn’t rated yet0
Когда-то был MyIE там была такая настройка.
This comment wasn’t rated yet0
У меня Google Chrome 50 последней версии — линки в статье не срабатывают.
Хотя апдейтов браузера не было крайние 2 дня.
This comment wasn’t rated yet0
52? Тестовая, что ли?

Версия 50.0.2661.94 m
Вы используете самую новую версию Chrome.
Total votes 5: ↑3 and ↓2+1
Зачем минусовать-то?
У меня и сейчас показывает свежую стабильную версию как 50.0.2661.94 m
Вот пруф
image
Total votes 4: ↑2 and ↓20
Не «зачем», а «почему». Потому что тут не «кружок кройки и шитья», а Хабр. Место, где людей, не знающих о том, как разрабатываются и выпускаются браузеры, в общем-то, быть не должно.

Одно дело — увидеть подобные «перлы» от бухгалтера, другое — от web-разработчика.
Total votes 4: ↑0 and ↓4-4
В курсе как они разрабатываются и выпускаются. Так как крайний стабильный релиз именно 50 версии, вот и уточнил не пользуется ли сей камрад «ночной» сборкой aka тестовой. Всего лишь.
Total votes 2: ↑1 and ↓10
Работает ссылка для Хабра.
This comment wasn’t rated yet0
Действительно, работает.
Походу глюк был в компе в прошлый раз.
This comment wasn’t rated yet0
Сколько лет работаю в веб-деве, но в шоке от этой статьи
Total votes 1: ↑1 and ↓0+1
Статья-то ладно, а вот дырки в технологии…
Total votes 1: ↑1 and ↓0+1
Я думаю это поведение останется таким и в будущем, ради обратной совместимости, т.к. _blank, является дочерним фреймом (если формально).
А вот rel=«noopener» должен выключать такое поведение. Т.е. у разработчика есть выбор какое поведение ему нужно.

Де факто, же это «гадость полнейшая», когда речь о cross-domain scope.

P.S.: Может можно на серверной стороне поотключать средствами заголовков, типа Server-Side Access Control через HTTP_ORIGIN?
Total votes 1: ↑1 and ↓0+1
P.P.S: Увы, вынужден растоптать надежды, HTTP-заголовком Access-Control-Allow-Origin: selfdomain это не решается, как с гуся вода, это только для XMLHttpRequest канает и то с целью наоборот.

Вижу только один путь: раз это «баг» идёт от JS, то JS-ом он и должен решаться, у кого js не работает, у того и «баг» не работает — всё просто.
А js-ом это как раз полечить можно вдоль и поперёк.
Total votes 1: ↑1 and ↓0+1
А js-ом это как раз полечить можно вдоль и поперёк.

Какое конкретно решение Вы предлагаете?
This comment wasn’t rated yet0
1. пройтись по всем <a> и добавить им noopener в ref.
2. переопределить window.open и стирать window.opener у всех новооткрываемых окон.
This comment wasn’t rated yet0
Да, только в обоих случаях выше HTTP_REFERER — тоже потеряется, увы (сам удивляюсь зачем это в жесткой связке стоит)
This comment wasn’t rated yet0
Интересно, почему window.opener не ограничен только для текущего домена?
Total votes 7: ↑7 and ↓0+7
И главное почему об этом никто не знал?
Total votes 6: ↑6 and ↓0+6
Строго говоря, потому что в этом нет ничего плохого. К контенту страницы кроссдоменного доступа нет. И даже не ко всем свойствам окна он имеется.
This comment wasn’t rated yet0
Как видите и тех что доступны оказалось достаточно.
This comment wasn’t rated yet0
На сайте компании где работаю от target="_blank" мы отказались вообще, у нас есть url через который происходят редиректы на все сторонние ресурсы.
This comment wasn’t rated yet0
но на этот-то то урл вы с target="_blank" конечно ходите, а поделитесь как делаете редирект чтобы максимально гарантировано сохранить рефера
This comment wasn’t rated yet0
1) На свой урл да
2) Все ссылки имеют свой хэш и по этому хэшу происходит редирект, ссылками управляют контентщики они головой отвечают что все ссылки валидны. У нас агрегатор, то каждая ссылка очень жирно проплачена и договор не нее есть, так что на этом не заворачиваемся.
This comment wasn’t rated yet0
Я это репортил в FB года два назад. Они мне сказали, что это known issue, но по тону было похоже на «нам пофиг».
Total votes 1: ↑1 and ↓0+1
Пару лет назад, в январе, был уже подобный пост. Не могу найти оригинал, автор выпилился с хабра, но тема в принципе совсем не нова.
This comment wasn’t rated yet0
У меня не срабатывал на клик колесиком, но зато при клике ЛКМ срабатывал
This comment wasn’t rated yet0
Таким грешат многие сайты, а некоторые, даже не считают это за проблему «на своей стороне»
Воу воу воу, то что там «с формой бобра» по ссылке — это совсем из другой оперы, да и повеселее будет — это подмена url'a в адресной строке на «чтохочу.com» и она работает в Chrome.
Вот это день «интересных историй»… я думал такие забавы остались где-то в середине 00-ых… печаль.
Total votes 1: ↑1 and ↓0+1
Если почитать, это не подмена урла, это комбинация работы с опенером (таба открытая с недоверенного ресурса всё ещё контролируется этим ресурсом) и хитрости с подменой легитимной страницы на очень быстро грузящуюся data:html страницу (так, чтобы перезагрузка была не видна пользователю).
Total votes 1: ↑1 and ↓0+1
Спасибо, никогда не задумывался об этом.
Total votes 2: ↑2 and ↓0+2
Господа, все таки предлагаю сделать вывод под всем выше сказанным и статьей и провести черту. Каким образом поступить с target="_blank"? При условии, что это работает там, это не работает там, костыль из javascript. Спасибо.
This comment wasn’t rated yet0

Еще туда же, к примерам, проблема общая:


<a href="//evil.com" target="_blank" rel="noreferrer">CLICK</a> <!-- window.opener нет  -->

<map><area href="//evil.com" target="_blank" rel="noreferrer">CLICK</area></map> <!-- window.opener нет -->

<svg><a xlink:href="//evil.com" rel="noreferrer">CLICK</a></svg> <!--  window.opener есть -->

<form action="//evil.com" target="_blank" rel="noreferrer"><input type="submit"></form> <!--  window.opener есть -->

<form id="test" rel="noreferrer"></form><button form="test" formtarget="_blank" formaction="//evil.com">CLICKME</button> <!--  window.opener есть -->

<math href="//evil.com" xlink:show="new" rel="noreferrer">CLICKME</math> <!--  window.opener есть -->
Total votes 1: ↑1 and ↓0+1
Яндекс-браузер 16.3 на базе Хромиума 47.0.2526 — попытка доступа к свойству window.opener вызывает неперехватываемое исключение
Uncaught SecurityError: Blocked a frame with origin «null» from accessing a frame with origin «null». Protocols, domains, and ports must match.


На более свежих версиях ещё не проверял, — может быть, эту защиту сломали.
This comment wasn’t rated yet0
Похоже не на защиту, а на какую-то ошибку. Вы точно это не пытались проверять на файлах на диске (где это, понятно, и не могло работать) или как-нибудь ещё «странно» сконфигурировать свою тест-систему?
This comment wasn’t rated yet0
А и впрямь! Конечно, я попытался проверить в песочнице.
Окей, поставлю коллег в известность, что существует не только дырка в безопасности, но ещё и баг. Может, доберутся и пофиксят.
This comment wasn’t rated yet0
Вот это ЛОЛ! А хотите прикол? В Китае ВСЕ сайты открывают ВСЕ линки в новой вкладке. Учитывая поголовную компьютерную неграмотность пользователя, подозреваю что можно кучу всего наловить у них!

М, да-а-а, *facepalm*.
Total votes 5: ↑0 and ↓5-5
Если кто ещё пользуется Opera 12, то в ней эта гадость (доступ к window.opener) распространяется не только на ссылки, открытые с target=_blank, но и вообще все ссылки, открытые колёсиком или пунктом «открыть в новой вкладке».

Выломать это можно так: пропатчить opera.dll, изменив строку «opener» на «opera», 0.
Для Opera 12.18, 32-bit, Windows это будет по адресу 0C6E414.
This comment wasn’t rated yet0
Sign up to leave a comment.

Articles

Show the best of all time
Change theme settings

Your account

Sections

Information

Services

Support
© 2006–2024, Habr