加了sandbox却白屏或JS不执行，是因为空值sandbox触发浏览器最底层拦截，HTTP响应体被拒收、HTML解析跳过，DOM树无内容且Network显示net::ERR_BLOCKED_BY_RESPONSE；必须显式设sandbox="allow-scripts"等权限才启动解析与执行。
为什么加了 sandbox 却白屏或 JS 一点不动
不是脚本写错了，是浏览器压根没开始解析 iframe 内容。只要写了 sandbox 或 sandbox=""，就触发最底层拦截：HTTP 响应体被直接拒收，Network 面板显示 net::ERR_BLOCKED_BY_RESPONSE，DOM 树里连 都没有。控制台静默，不报错也不警告。
验证方法很简单：在控制台执行 document.querySelector('iframe').sandbox，返回空的 DOMTokenList [] 就说明权限全锁死。
- 修复只有一条路：把属性值改成明确的权限组合，至少含
allow-scripts - 别写
sandbox=""，也别只写sandbox—— 这等于告诉浏览器“什么都别干” - 动态设置
iframe.sandbox = "allow-scripts"无效，必须在 DOM 插入前就写死
allow-scripts 单独启用时，哪些 JS 能跑、哪些会静默失效
allow-scripts 只解禁外链脚本（<script src="xxx.js"></script>）的加载与执行，其他所有“内联式”行为仍被屏蔽，且不报错——你点了按钮没反应、onclick 绑定无效、javascript:void(0) 链接点不动，都是正常表现。
Article To Html
下载
文章转信息图。将文章/笔记转化为手机可读的 HTML 信息图，自动匹配视觉风格。触发场景：文章转图、笔记转图、信息图、转小红书图、做张图、可视化这篇文章、文生图。
- ✅ 允许：
<script src="https://cdn.example.com/widget.js"></script>（需服务端返回正确Access-Control-Allow-Origin头） - ❌ 禁止：
<button onclick="alert(1)">点我</button>、<a href="javascript:doIt()">链接</a>、eval()、setTimeout("alert(1)")、Function构造器 - ⚠️ 注意：第三方广告 SDK 若依赖
onclick或内联 handler，必须改用addEventListener才能响应
生产环境推荐的最小安全组合，以及绝对要避开的高危 token
广告、分析、用户上传内容这类不可信插件，不需要读写本地存储、不需要跳转父页、不需要提交表单。真正需要的只有脚本执行和有限弹窗（如广告落地页），其余权限全是攻击面。
立即学习“前端免费学习笔记（深入）”；
- ✅ 推荐组合：
sandbox="allow-scripts allow-popups"—— 支持window.open()，新开窗口不继承沙箱（注意：它拥有完整权限） - ✅ 视频广告可追加：
allow-autoplay（但部分浏览器仍要求用户手势） - ❌ 绝对禁止：
allow-same-origin（同源时可读取父页 cookie、localStorage）、allow-top-navigation（可执行top.location = 'https://phishing.site'）、allow-forms（广告从不提交表单，加了反而扩大 XSS 利用路径） - ⚠️
allow-same-origin不是信任开关：它只在src确实与父页协议+域名+端口完全一致时才生效；不同源时该 token 被静默忽略，还暴露配置疏忽
沙箱 iframe 中的 localStorage 和状态同步怎么处理
沙箱 iframe 的 localStorage、sessionStorage、IndexedDB 全部绑定到一个临时、匿名、无持久化的 null origin 上。即使开了 allow-scripts，刷新后数据消失，父页也永远访问不到。
- DevTools 的 Application 面板显示为空或标为 “(inactive)” 是误导，真实状态是：
localStorage.length返回0，Object.keys(localStorage)返回空数组 - 需要保存配置、用户偏好？由父页统一托管，插件通过
window.parent.postMessage()上报变更 - 父页监听时必须校验
event.origin，不能仅靠allow-same-origin放行 - 别试图在沙箱内用
document.cookie—— 它读写的也是nullorigin 下的隔离 cookie，与父页完全无关
sandbox 比不加更危险，而 allow-scripts 开了也不等于“JS 能跑通”。 
