allow属性是iframe启用敏感API的必要前提，不配置或格式错误将导致geolocation、clipboard、camera等调用直接失败且不触发权限请求；正确格式为分号分隔、来源用括号包裹，如allow="geolocation='self'; clipboard-read='self' https://example.com"。
iframe 的 allow 属性不是可选配置，而是现代浏览器中启用敏感 API 的必要前提；不写、写错或来源不匹配，navigator.geolocation.getCurrentPosition()、navigator.clipboard.read() 这类调用会直接失败，且不弹权限请求。
allow 属性值必须用分号分隔，括号指定来源
Chrome 100+ 已彻底废弃空格分隔和无括号写法。旧写法如 allow="geolocation 'self'" 或 allow="clipboard-read https://a.com" 会被静默忽略，等效于没写。
- ✅ 正确格式：
allow="geolocation='self'; clipboard-read='self' https://editor.example.com; fullscreen=()" - 来源列表必须用空格分隔，且整体包裹在括号里：
'self' https://a.com https://b.com合法，'self'https://a.com（缺空格）非法 -
=()表示显式禁用，比省略更可靠；=*允许所有来源，但microphone=*在 Chrome 中实际已被策略拦截，不生效 - 多个权限之间只认分号
;，逗号、换行、空格都不行
哪些特性必须配 allow 才能用
不是所有 API 都受 allow 控制，但以下常见功能一旦嵌入 iframe，没配就必然失败：
-
geolocation：调用navigator.geolocation.getCurrentPosition()时抛NotAllowedError -
clipboard-read和clipboard-write：执行navigator.clipboard.read()或.write()直接 reject，且不触发粘贴框 -
microphone和camera：navigator.mediaDevices.getUserMedia({ audio: true })拒绝，不弹授权弹窗 -
fullscreen：调用element.requestFullscreen()失败，控制台提示 “Fullscreen is disabled by permissions policy” -
payment：跨域 iframe 调用new PaymentRequest()报错 “PaymentRequest is not supported”
‘self’ 指的是 iframe 自身的源，不是父页面
这个点极易误解。假设父页是 https://app.example.com，iframe src 是 https://widget.example.com，那么 'self' 指的就是 https://widget.example.com，和父页完全无关。
立即学习“前端免费学习笔记（深入）”；
- 若想让该 iframe 使用地理位置，应写
allow="geolocation='self'"，而不是指望父页同源就能自动获得权限 - 若 iframe 是
https://cdn.thirdparty.net/embed.js，而你只信任它来自该域名，则写geolocation='https://cdn.thirdparty.net' - 跨域 iframe 无法读取父页 DOM，但能用自己的源向浏览器申请设备权限——前提是
allow显式放行且用户已授过权
allow 优先级高于 Permissions-Policy 响应头
如果服务器返回了 Permissions-Policy: microphone=()，但 iframe 标签写了 allow="microphone='self'"，最终生效的是后者。这既是优势也是风险点。
- 适合场景：对某个特定 iframe 精准开权（如内部可信组件），其他 iframe 仍受响应头兜底限制
- 危险操作：在沙箱化页面中给第三方 iframe 写了
allow="*"，等于绕过全部后端策略 - 调试建议：打开 Chrome DevTools → Application → Permissions → 查看当前 iframe 上下文的权限状态；或在 iframe 内运行
navigator.permissions.query({ name: 'clipboard-read' })看返回值 - 本地开发注意：
file://协议下所有权限策略均不生效，必须走 HTTP(S) 服务才能验证
真正容易被忽略的不是语法细节，而是“'self' 不等于父页面”和“allow 会覆盖响应头”这两条——它们会让看似安全的配置在嵌套场景下突然失效。
