必须用iframe的allow属性写camera=()才能直接禁用其摄像头访问，因allow拥有最高优先级且专控子帧，而Permissions-Policy响应头仅约束主页面自身行为，对第三方iframe内容无效。
直接禁用 iframe 里的摄像头访问，必须用 allow 属性写 camera=()，HTTP 响应头的 Permissions-Policy 对 iframe 内容无效（除非没设 allow）。
iframe 的 allow 属性是唯一可靠方式
浏览器对嵌入内容的权限控制，allow 属性拥有最高优先级。即使你已在响应头设置了 Permissions-Policy: camera=()，只要 iframe 标签里没写 allow，或者写了错误格式，摄像头仍可能被调用。
-
allow="camera=()"是唯一明确禁止的写法——括号必须为空，不能省略 -
allow="camera"或allow="camera=*"等同于完全开放，极其危险 -
allow="camera='self'"是旧语法，Chrome 100+ 已忽略，等同于未设置 - 多个权限用分号分隔：
allow="camera=(); microphone=(); geolocation=()"
为什么响应头的 Permissions-Policy 不管 iframe 里的事
Permissions-Policy 响应头只约束当前文档及其子资源（比如内联脚本、fetch 请求），但对 iframe 加载的第三方页面不生效——那是子帧自己的策略范围。它只能兜底控制主页面本身调用 navigator.mediaDevices.getUserMedia 的行为。
- 主页面 JS 调用
getUserMedia({ video: true })→ 受响应头控制 - iframe 里 JS 调用同一 API → 只受该 iframe 的
allow属性控制 - 如果 iframe 没设
allow，浏览器按默认策略处理（通常允许，尤其在同源时）
常见失效场景和验证方法
策略写错一个字符就等于没写。别信“差不多”，Chrome 和 Edge 会严格校验语法。
立即学习“前端免费学习笔记（深入）”；
- 错误示例：
allow="camera 'none'"（缺等号和括号）、allow="camera=none"（漏括号）、allow="camera=() microphone=()"（缺分号） - 正确示例：
<iframe src="https://thirdparty.com/widget" allow="camera=(); microphone=()"></iframe> - 验证是否生效：打开 DevTools → Console，执行
navigator.permissions.query({ name: 'camera' }).then(r => console.log(r.state))；若返回"denied"或调用getUserMedia报NotAllowedError，说明策略已起效 - 注意：本地
file://协议下所有策略均不生效，必须通过 HTTP(S) 服务访问
真正起作用的永远是那个 allow 属性里的括号——空的，才代表拒绝。其他任何变体，都可能让摄像头悄悄打开。
