sandbox属性需显式放行能力，空值禁用脚本、表单、弹窗、存储、自动播放等；allow-scripts与allow-same-origin合用易越权，同源判断失败时后者无效；生产环境禁用allow-same-origin，按最小权限配组合。
sandbox 属性不是“加了就安全”，而是“不加白加，加错更危险”。它默认关闭一切能力，必须显式放行——但每放一行，就多一分风险。
空 sandbox="" 会禁掉哪些行为？
写成 <iframe sandbox></iframe> 或 <iframe sandbox=""></iframe>，等价于启用全部限制。此时 iframe 内容：
- 脚本完全不执行（
<script>、onload、内联事件全失效） - 表单点击提交无反应，控制台静默失败，不报错
-
window.open()、target="_blank"全部被拦截 - 无法读写
localStorage、sessionStorage、cookie - 自动播放视频/音频被强制暂停，
autofocus失效 - 哪怕 src 是同域 HTML，也会被当成独立源（
origin变成"null"）
allow-scripts 和 allow-same-origin 同时出现的陷阱
这两个 token 看似常用，合用却极易越权。关键点在于：
-
allow-same-origin单独存在无效：浏览器只在 iframe 加载的资源**确实与父页同源**（协议+域名+端口全一致）时才认它；否则直接忽略 -
allow-scripts allow-same-origin一起开，iframe 脚本就能读写自身localStorage、调用fetch()，但仍不能访问window.parent或document——DOM 隔离是 sandbox 的硬边界 - 如果 iframe src 是
https://third-party.com/widget.html，却硬加allow-same-origin，既得不到同源权限，又暴露了你对来源判断的疏忽 - 生产环境嵌第三方内容时，不要加
allow-same-origin；可信内部页面才考虑它
常见功能组合怎么配才够用又不越界？
按真实使用场景选最小集，避免堆砌：
- 只展示带 JS 的广告或图表：
sandbox="allow-scripts allow-popups"（禁表单、禁存储、禁跳转） - 需要用户填写并提交反馈表单：
sandbox="allow-scripts allow-forms allow-popups"（不加allow-same-origin，表单提交走 CORS） - 嵌入内部可信的管理子系统（同源且需 localStorage）：
sandbox="allow-scripts allow-same-origin allow-forms"（确认 src 确实是https://yourdomain.com/admin/） - 绝对禁止跳转父页：别碰
allow-top-navigation；真要跳，由父页监听message后主动跳
怎么验证 sandbox 是否生效？
别靠猜，打开控制台直接查：
- 选中 iframe 元素 → 在 Console 输入
document.querySelector('iframe').sandbox→ 返回的是 DOMTokenList，比如DOMTokenList ["allow-scripts", "allow-forms"] - 若返回空列表
DOMTokenList []，说明没生效（可能拼写错、被 JS 动态删了、或浏览器不支持） - 想看 iframe 内是否真被隔离：在 iframe 页面里运行
window.top === window.self，应为true；若为false，说明allow-top-navigation或其他配置已破坏隔离
真正难的不是配对 token，而是每次加之前问一句：这个能力，是不是当前场景非有不可？一旦开了，就再也收不回去了。
