L'attributo download in un elemento a indica al browser di forzare il download di un file che altrimenti verrebbe interpretato dal browser. Questo è molto comodo, poiché spesso gli utenti vogliono scaricare un file (ad esempio jpg) invece di visualizzarlo dal browser.
<a href="link.jpg" download="myfile.jpg">Click here to download</a>
Alcuni browser bloccano l'attributo download quando il file non è accessibile dallo stesso protocollo, sullo stesso host e sulla stessa porta. Questo per me sembra un po 'inutile mentre rompe molti buoni casi d'uso per prevenire qualcosa che può essere aggirato in altri modi.
Quali sono le implicazioni sulla sicurezza che i browser cercano di proteggere? Qualche esempio reale utile?