链接跳转代码

新窗口打开，老写法是加target="_blank"。但很多人不知道，从2021年开始，主流浏览器给这个属性加了个隐式规则：新打开的页面能通过window.opener访问原页面，存在安全风险。所以现在推荐写成rel="noopener"，或者直接rel="noreferrer"。我在自己的博客里测试过，不加这两个属性，Chrome控制台会弹安全警告，虽然不影响功能，但看着膈应。

还有一种跳转不是用户点击触发的，而是代码自动执行。比如支付完成后倒计时三秒跳回订单页。实现方式有两种：window.location.href和window.location.replace。区别在于前者会在浏览器历史里留一条记录，用户按后退能回到支付页；后者直接替换当前历史记录，后退就回不去了。做支付回调的时候，我一般用replace，避免用户重复提交。

meta标签也能做跳转。<meta http-equiv="refresh" content="5;url=https://example.com">，五秒后自动跳。这玩意儿现在用得少了，因为用户体验差，而且对SEO不友好。但有些老后台系统还在用，我见过一个内部工单系统，提交成功后就是靠meta刷新跳转的。改起来麻烦，因为跳转逻辑散落在各个JSP页面里。

还有一类跳转容易被忽略：表单提交后的跳转。后端返回302重定向，浏览器自动跳。这个过程中，如果原请求是POST，有些浏览器会弹窗问“是否重新提交表单”。解决办法是用303状态码，强制把POST转成GET。这个细节在前后端分离的项目里经常被绕过，因为前端直接用fetch拿JSON，然后手动location.href跳转，反而没这个问题。

移动端有个特殊场景：唤起App。用scheme协议跳转，比如taobao://item.taobao.com。如果用户没装App，页面会卡住或者报错。通常得加个定时器，两秒后跳回下载页。这段代码写起来啰嗦，但没办法，iOS和Android的兼容性就是不一样。我见过最粗暴的做法是直接window.location.href = 'taobao://...'，然后不管了，用户体验极差。

说到底，跳转代码的选择取决于三个问题：用户要不要回来？新页面安不安全？跳转由谁触发？想清楚这三点，写出来的代码就不会出大错。我自己的习惯是，站内跳转用默认，站外用target="_blank"加rel="noopener"，自动跳转优先用location.replace。至于meta刷新，除非维护老系统，否则不碰。