跨协议调用window.open是否合规？多浏览器与系统兼容性咨询

首先明确两个核心结论：

1. 技术上，跨协议（HTTP↔HTTPS）调用window.open是可行的：现代主流浏览器（Chrome、Firefox、Safari、Edge等）默认允许这种操作，在普通桌面/移动操作系统环境下都能正常执行，你本地测试可行的情况，大部分公开环境也能跑通。
2. 但这绝对不属于良好实践，主要原因如下：

核心问题点 #

• 安全风险（最关键）
  从HTTPS页面跳转至HTTP页面时，HTTP的明文传输特性会导致用户在目标页面的所有操作、输入数据都可能被窃听或篡改。浏览器会在地址栏显示明确的“不安全”标识，甚至弹出安全警告，严重打击用户对站点的信任。反过来从HTTP跳HTTPS虽然安全，但用户可能会因为突然的协议切换产生疑虑。
• 用户体验损耗
  跨协议弹窗可能被浏览器的安全机制标记为“高风险”，部分广告拦截工具或浏览器内置拦截规则会直接阻止弹窗弹出；即使成功打开，浏览器的安全提示也会打断用户的操作流程，影响体验。
• 合规隐患
  若你的站点涉及敏感数据处理（比如支付、用户信息），多数行业合规标准（如PCI DSS）要求全程使用HTTPS，跨协议跳转HTTP会直接违反合规要求，带来合规风险。

优化建议 #

• 优先将目标HTTP页面升级为HTTPS，这是彻底解决所有问题的最优方案，既符合安全标准，也能避免跨协议带来的所有隐患。
• 若暂时无法升级目标页面，在调用window.open前，必须在页面上明确告知用户即将跳转至不安全的HTTP站点，并让用户主动确认后再执行跳转操作，降低用户的不信任感。
• 多环境测试：覆盖不同浏览器和操作系统，尤其是移动端浏览器，部分移动端安全策略对HTTP弹窗的拦截会更严格。

内容的提问来源于stack exchange，提问作者WORM HACKER