new URL(url).protocol !== "https:"過剰だよなあと思い始めているので!url.startsWith("https:")にしたいんだけどhttps:+javascript:みたいなものが許可されてしまう？