HTML をエスケープをしてもユーザ入力を a タグの href に入れることがあれば 「javascript:alert(1)」 みたいに javascript: の URL を書いて XSS できるとかいうのを見かけた
だけど 今どき javascript: なんて使わないし 無効化してしまえばいい気がする

window.addEventListener("click", eve => {
	const a = eve.target.closest("a")
	if (a && a.href.startsWith("javascript:")) {
		eve.preventDefault()
	}
})

毎回これ書くのも面倒だし もう少し楽に無効化できればいいんだけど……
もういっそデフォルト無効化でもいいのに互換性優先だからそれはなさそうだし