JavaScript/HTML如何实现跳转链接携带已设置的sessionStorage项

• sessionStorage 遵循同源+同浏览上下文隔离规则：通过window.open新开的标签页属于独立浏览上下文，Chrome 115+、全版本Safari等现代浏览器默认不会继承父页面写入的sessionStorage，只要端口、域名、协议有任意一项不一致更是完全隔离，读不到值是符合规范的预期表现。
• 测试逻辑和实际业务完全脱节：真实场景下用户是从邮件客户端直接点击链接打开重置密码页，根本不存在提前执行sessionStorage.setItem的前置页面，这套测试逻辑从设计上就复现不了真实的邮件跳转链路。

直接落地你最开始评估的「JWT拼接至邮件访问链接」方案，不要绕sessionStorage做跳转传值，流程完全匹配邮件免登/重置密码的通用实践：

1. 后端校验邮箱通过后生成JWT，直接拼接到重置密码链接的查询参数中，将完整链接放入验证邮件发送给用户
2. 本地测试逻辑和真实邮件链接逻辑保持一致，直接带参数跳转：

function loadWindow() {
  const testJwt = 'tokentoken';
  const targetUrl = new URL('http://localhost:8080/html/reset-password.html');
  targetUrl.searchParams.set('token', testJwt);
  window.open(targetUrl.toString());
}

3. 重置密码页初始化时，从URL参数中提取JWT，校验合法性后存入当前页面的sessionStorage供后续接口调用，同时清除URL上的敏感参数避免泄露：

// reset-password.html 页面初始化逻辑
const pageParams = new URLSearchParams(window.location.search);
const jwtToken = pageParams.get('token');

if (jwtToken) {
  // 存入当前页会话存储，后续接口请求直接从这里取
  window.sessionStorage.setItem('JWT', jwtToken);
  // 清除URL上的token参数，避免被浏览器历史、Referrer请求头、站点访问日志留存泄露
  window.history.replaceState(null, '', window.location.pathname);
} else {
  // 无有效token直接跳错误页，禁止访问重置密码逻辑
  window.location.replace('/html/access-denied.html');
}

如果是同站点内已打开的两个页面之间传值，可以使用postMessage做跨上下文通信，但这个方案完全不适用于当前邮件跳转的业务场景：用户从邮件客户端打开页面时不存在关联的父窗口，根本无法建立消息通信链路，不要在这个业务里采用。

内容的提问来源于stack exchange，提问作者Ryan Reddy