El atributo de descarga en un elemento a le dice al navegador que obligue a la descarga de un archivo que de lo contrario sería interpretado por el navegador. Esto es muy conveniente, ya que a menudo los usuarios desean descargar un archivo (por ejemplo, jpg) en lugar de que el navegador lo visualice.
<a href="link.jpg" download="myfile.jpg">Click here to download</a>
Algunos navegadores bloquean el atributo download cuando no se accede al archivo por el mismo protocolo, en el mismo host y en el mismo puerto. Para mí, esto me parece un poco inútil, mientras que rompe muchos buenos casos de uso para evitar algo que pueda evitarse de otras maneras.
¿Cuáles son las implicaciones de seguridad que los navegadores intentan proteger? ¿Algún ejemplo real útil?