iframe sandbox属性默认禁用脚本执行、表单提交、弹窗、DOM访问、存储读写、跨域请求等全部主动行为，仅postMessage可用；必须显式添加allow-scripts等白名单token才能逐项启用对应权限。
iframe sandbox属性能禁用哪些默认行为
不加 sandbox 时，iframe 默认拥有完整执行权限：可以运行脚本、提交表单、弹窗、访问父页面 DOM、发起跨域请求。加了 sandbox 属性后，所有这些能力被**全部关闭**——包括 script、form、popup、top-navigation、same-origin 等，除非显式放行。
常见错误是只写 <iframe sandbox></iframe> 就以为“加了沙箱”，结果页面白屏或功能全失效，因为连最基本的 JS 执行和 CSS 渲染（如果依赖 JS）都被拦了。
- 空值
sandbox=""或sandbox=" "效果相同：最严格限制 - 必须逐项添加权限，例如
sandbox="allow-scripts allow-same-origin" -
allow-same-origin是高危项：一旦启用，iframe 内页面就获得与同源页面等同的权限，可读写 localStorage、cookie、父页面 DOM（如果允许）
常用权限组合与对应风险
没有“万能安全配置”，只有按需最小授权。下面几个组合覆盖多数真实场景：
- 仅展示静态内容：
sandbox="allow-scripts"—— 允许 JS 运行，但禁止访问父页面、禁止弹窗、禁止表单提交、禁止修改自身 URL - 嵌入第三方分析/广告脚本：
sandbox="allow-scripts allow-popups"—— 弹窗需用户手势触发，否则仍被拦截 - 嵌入同源管理后台子页（如 /admin/report）：
sandbox="allow-scripts allow-same-origin"—— 注意：此时 iframe 与父页共享 origin，若父页存在 XSS 漏洞，iframe 可被劫持 - 需要表单交互但禁止跳转：
sandbox="allow-scripts allow-forms"—— 表单提交后默认在 iframe 内加载响应，不会跳出
特别注意：allow-top-navigation 极其危险，等价于让 iframe 完全控制整个浏览器窗口，生产环境应避免使用。
立即学习“前端免费学习笔记（深入）”；
将 Markdown 文章转换为微信公众号兼容的纯 HTML 格式。当用户要求"转成微信格式"、"生成公众号文章 HTML"、"排版到微信草稿箱"、"微信粘贴格式"时触发。输出带内联样式的纯 HTML，微信编辑器可直接渲染，无需额外适配。支持标题、段落、列表、粗体、行内代码、表格、引用块、代码块、配图的完整转换。
为什么 sandbox + allow-same-origin 仍可能跨域失败
即使写了 sandbox="allow-scripts allow-same-origin"，iframe 加载的页面若来自不同源（比如 https://a.com 嵌入 https://b.com/page.html），allow-same-origin 也不会生效——浏览器会直接忽略该 token，并保持跨域限制。
- 生效前提：iframe 的
src必须与父页面同源，或通过document.domain协同设置（已逐步废弃） - 常见误判：以为加了
allow-same-origin就能绕过 CORS，实际它只影响 iframe 自身的同源判定，不影响 fetch/XHR 的跨域策略 - 调试技巧：检查控制台是否出现
Blocked a frame with origin "xxx" from accessing a cross-origin frame错误，说明allow-same-origin未起作用
配合 srcdoc 使用 sandbox 更安全
当内容完全可控（比如渲染 Markdown 预览、代码片段执行），优先用 srcdoc 替代 src。它天然规避跨域问题，且与 sandbox 协同效果更确定：
<iframe sandbox="allow-scripts" srcdoc="<h1>Hello</h1><script>alert(1)</script>"></iframe>
这种写法下，JS 能执行，但无法访问外部资源（无网络权限）、无法读取 cookie、无法调用 parent 或 top。比加载远程 HTML + sandbox 更干净。
容易被忽略的一点：如果 srcdoc 中内联脚本用了 eval、setTimeout("string") 或内联事件处理器（如 onclick="..."），会被 sandbox 默认禁止——需额外加 allow-popups-to-escape-sandbox（极少需要）或改用事件监听器绑定方式。
