直接在 iframe 的 allow 属性中设置 microphone=() 可精准禁用麦克风，优先级高于响应头；需严格遵循新语法，配合 Permissions-Policy 响应头实现双重防护。
直接用 iframe 的 allow 属性就能精准限制第三方组件调用麦克风，比靠后端响应头更直接、优先级更高。
关键：在 iframe 标签里明确禁用 microphone
浏览器会严格按 allow 值决定是否放行 API 调用。只要不显式授权，getUserMedia({ audio: true }) 会直接抛出 NotAllowedError，不会弹窗、不会静默采集。
- 完全禁止：写成
allow="microphone=()"—— 括号空着，表示明确拒绝所有来源 - 只允自己（极少见）：用
allow="microphone='self'"，但注意'self'指 iframe 自身的源，不是父页面 - 慎用通配：
allow="microphone=*"等同于开放给任意第三方，隐私风险极高，不建议
别踩这些常见写法坑
语法错一个字符，策略就失效。Chrome 100+ 已淘汰旧格式，必须按新规范写：
- ❌ 错误：
allow="microphone 'none'"或allow="microphone 'self' https://a.com"（空格分隔、缺括号） - ✅ 正确：
allow="microphone=(); geolocation=()"（多个权限用分号；每个都带等号和括号） - ⚠️ 注意：
microphone=()和microphone='none'不等价——后者是旧 Feature-Policy 语法，现代浏览器直接忽略整条
配合 Permissions-Policy 响应头双重保险
虽然 allow 优先级更高，但 HTTP 头能兜底控制整个页面及所有 iframe（除非被 allow 覆盖）。适合统一禁用敏感能力：
立即学习“前端免费学习笔记（深入）”；
- 后端加响应头：
Permissions-Policy: microphone=(), camera=(), geolocation=() - Nginx 配置示例：
add_header Permissions-Policy "microphone=(), camera=()"; - 开发时别用
file://打开 HTML——本地文件协议下所有权限策略都不生效
验证是否生效的小技巧
打开 Chrome DevTools → Application → Permissions → 查看当前页面的“Microphone”状态；或在 Console 执行：
navigator.permissions.query({ name: 'microphone' }).then(r => console.log(r.state))
如果返回 "denied" 或 "prompt" 且 iframe 内调用失败，说明策略已起作用。
