这应该算bug吧，可以做一些攻击吧

Question

这应该算是bug吧JsFiddle

Answer 1

操作被限制在iframe里了。有Same-Origin policy把关。除了弹个窗口还能干啥？

Answer 2

chrome表示直接禁止了

Answer 3

location.reload() 可以直接用 ESC 键中止掉，没什么伤害性。