href属性中可以直接写JavaScript代码，但出于安全、可访问性及现代Web开发规范考虑，强烈建议避免在href中直接执行JS，而应使用onclick事件配合preventDefault()或返回false来处理交互。
在早期的Web开发实践中,开发者经常看到类似<a href="javascript:void(0);">点击</a>这样的代码，这种做法在HTML4时代或许还能勉强运行，但在2026年的Web标准下，它被视为一种反模式，浏览器对链接的语义理解是“导航”到某个资源，而JavaScript代码的执行则是“交互”，混淆这两者会导致搜索引擎爬虫困惑、屏幕阅读器失效，以及潜在的安全风险。
为什么href里写js代码是危险的操作
从技术底层来看,将JavaScript代码直接嵌入href属性存在多重隐患，业内专家指出，这种做法破坏了超链接的语义完整性，使得页面结构难以维护。
安全性与中间人攻击风险
当你在href中编写脚本时,如果代码包含用户输入或未过滤的数据，极易引发跨站脚本攻击（XSS），虽然现代浏览器对javascript:协议有严格限制，但在某些旧版浏览器或特定配置下，恶意脚本仍可能执行，如果页面通过HTTPS加载，而href中的脚本试图访问非安全资源，浏览器会阻止执行，导致功能失效。
可访问性（Accessibility）障碍
对于使用屏幕阅读器的视障用户而言,链接的主要作用是导航，如果href属性包含javascript:void(0)或具体函数名，屏幕阅读器可能会读出这些技术细节，而不是有意义的操作描述，这不仅降低了用户体验，还违反了WCAG 2.1及以上标准的无障碍要求。
搜索引擎优化（SEO）的负面影响
搜索引擎爬虫在抓取页面时,会尝试解析href属性以发现更多链接，如果href中包含JS代码，爬虫可能无法正确识别该链接为有效的导航入口，从而降低页面的索引效率，更重要的是，如果链接被用于执行非导航操作（如提交表单、切换标签页），搜索引擎可能会误判页面结构，影响排名。
现代Web开发中的最佳替代方案
为了兼顾功能实现与代码规范,现代前端框架和原生JavaScript都推荐将行为与结构分离，以下是几种标准的实现路径。
使用onclick事件配合事件监听
这是最推荐的方案,将HTML中的href设置为一个有效的占位符，如或javascript:void(0)，然后通过JavaScript为元素绑定点击事件。
具体操作步骤如下：
- 在HTML中定义链接,href设为：
<a href="#" id="myLink">执行操作</a>
- 在JavaScript中获取元素并添加事件监听器：
document.getElementById('myLink').addEventListener('click', function(e) {
e.preventDefault(); // 阻止默认跳转行为
// 在此处编写你的JS逻辑
console.log('操作已执行');
});
这种方法的优势在于,即使JavaScript被禁用，链接仍然可以跳转到页面顶部（因为href是#），不会导致404错误，逻辑清晰，便于调试和维护。
使用
