需在iframe标签中显式添加allow属性并配置父页面Permissions-Policy响应头，二者交集决定实际可用权限；常见错误包括allow值用逗号分隔、策略头缺失或大小写不匹配、跨域未授权、非用户手势触发定位等。
iframe里调用navigator.mediaDevices.getUserMedia被拒绝怎么办
直接原因是父页面没给子iframe开权限，浏览器按默认策略拦截了。Permissions Policy不是可选配置，而是强制生效的安全机制，不显式声明就等于“禁止”。
常见错误现象：NotAllowedError: Permission denied 或控制台报 Permissions policy violation，但页面无明显提示；尤其在嵌入第三方视频会议组件、扫码工具时高频出现。
- 必须在
<iframe>标签上用allow属性声明所需能力，例如allow="camera;microphone;geolocation" -
allow值是空格分隔的权限列表，不是逗号——写成allow="camera,microphone"会完全失效 - 若 iframe 源是跨域的（比如嵌入
https://widget.example.com），父页面还必须确保自身响应头包含对应Permissions-Policy，否则子帧即使写了allow也会被降级拦截 - 部分旧版 Safari 对
geolocation支持不稳定，建议搭配allow="geolocation *"（带通配符）提升兼容性
Permissions-Policy HTTP 响应头和 allow 属性的关系
两者是协同生效的：HTTP 头是全局策略（对整个页面及其所有 iframe 生效），allow 是子帧的“申请白名单”。子帧能用什么，取决于二者交集。
比如父页面响应头设了 Permissions-Policy: camera=()（空括号表示禁止所有来源），那无论 iframe 怎么写 allow="camera" 都无效。
立即学习“前端免费学习笔记（深入）”；
- 常用策略头示例：
Permissions-Policy: geolocation=(self "https://trusted.example.com"), camera=(self) - 注意括号内是来源列表，
self指同源，字符串必须加引号，多个来源用逗号分隔 - 若子 iframe 地址是
https://embed.example.net，而父页面只允许"https://trusted.example.com"，则摄像头仍被拒 - 开发阶段可用
localhost测试，但生产环境必须写真实协议+域名，*不被允许用于敏感权限（如camera）
为什么加了 allow="camera" 还没效果
大概率是权限链断在某一层：要么父页面策略太严，要么 iframe 自身加载方式绕过了策略继承（比如用 srcdoc 或动态 document.write 注入）。
-
srcdociframe 默认没有源（about:srcdoc），此时allow会被忽略，必须配合sandbox属性并显式启用 API，例如sandbox="allow-scripts allow-same-origin" allow="camera" - 动态创建的 iframe（
document.createElement('iframe')）需在设置src或srcdoc前就挂好allow属性，晚于src赋值会导致策略不生效 - 检查浏览器开发者工具的
Application → Permissions Policy面板，能看到当前帧实际生效的策略，比读代码更直观 - 某些安卓 WebView 或微信内置浏览器对
geolocation的策略解析有偏差，建议 fallback 到navigator.geolocation.getCurrentPosition前先if ('geolocation' in navigator)判断
iframe 中定位 API（navigator.geolocation）失败的特殊处理
定位权限比摄像头更敏感，浏览器常要求用户主动触发（比如点击按钮），且策略验证更严格。单纯加 allow="geolocation" 不够。
- 必须由用户手势（click/tap）触发定位请求，
iframe内自动执行getCurrentPosition会被静默拒绝 - 跨域 iframe 若想用定位，父页面
Permissions-Policy头中必须明确列出该子域，且不能是geolocation=()这种全禁写法 - Chrome 120+ 开始，
geolocation在非安全上下文（http://）下彻底不可用，即使本地测试也得走https://localhost或http://127.0.0.1 - 若父页面已启用 HTTPS 但子 iframe 仍是 HTTP，则整个策略链失效——混合内容下浏览器直接忽略
allow属性
allow 属性的匹配是大小写敏感的，Camera 和 camera 效果完全不同；还有就是把策略头误写在 HTML 的 <meta> 里（仅支持部分策略，且不适用于 iframe 权限控制）。 
