加 sandbox 属性默认全锁死：脚本不执行、表单失效、弹窗拦截、localStorage不可读写，仅 postMessage 可用；必须显式添加 allow-scripts 等白名单权限才能逐项放行。
直接加 sandbox 属性不会自动变安全，反而大概率导致子页白屏、JS 不执行、表单点不动——这不是 bug，是浏览器按规范“锁死”了所有能力。真正的安全性增强，靠的是显式声明最小权限 + 通信路径收口 + 生命周期手动接管。
为什么 sandbox="allow-scripts" 后 onclick 还是没反应
因为 allow-scripts 只解禁 JS 引擎执行权，不恢复 HTML 解析阶段的内联事件绑定能力。onclick、onload、javascript:void(0) 这些属于 DOM 构建时的解析行为，受更底层策略拦截，allow-scripts 对它们完全无效。
- 子页里所有交互逻辑必须移入
<script>块或外部 JS 文件，并用addEventListener绑定 - 若嵌入的是第三方不可改源码的 HTML（含大量
onclick="doX()"），仅加allow-scripts不够；可尝试叠加allow-popups（部分旧版 Safari 会放宽限制，但不可靠） -
srcdoc内联内容同样受 sandbox 限制，即使没网络请求，内联事件也静默失效
postMessage 是唯一合规通信路径，但写错 targetOrigin 就等于放弃校验
父页调用 iframe.contentWindow.postMessage(data, '*') 是生产环境高危操作。浏览器不报错，但任何页面都能监听并伪造响应，钓鱼 iframe 或 XSS 注入后即可劫持通信流。
- 必须明确指定目标域，例如
'https://widget.example.com'；本地开发也应写成'http://localhost:3000'，而非'*' - 子页来自
about:blank或动态写入 HTML 时，event.origin是'null'，需显式比对，不能只用includes()模糊匹配 - Chrome 117+ 对
postMessage序列化更严格：Date、RegExp、function等非结构化数据会被自动丢弃，传参只能用 plain object - 敏感操作（如登录态同步、支付回调）必须附带签名或一次性 token，不能仅靠
origin校验
iframe 的生命周期不随 SPA 路由自动回收，不手动清理就会内存泄漏
Vue 的 onUnmounted 或 React 的 useEffect cleanup 不会触发 iframe 内 JS 的退出逻辑。子应用的 setInterval、WebSocket、window.addEventListener('message', ...) 全部继续运行，且无法被 GC 回收。
立即学习“前端免费学习笔记（深入）”；
- 销毁前必须显式调用
iframe.contentWindow?.close()，再移除 DOM 节点 - 不要依赖
iframe.remove()就认为子应用已退出——它只删 DOM，JS 上下文仍在后台执行 - 若子应用注册了全局
window.onmessage，需在销毁前通过postMessage通知其执行自身 cleanup 逻辑 - 每次加载新子应用都应新建
iframe实例；复用contentWindow会导致原型污染、闭包变量残留、eval 执行上下文错乱
allow-same-origin 不是信任开关，而是同源校验通过后的解锁钥匙
写成 sandbox="allow-scripts allow-same-origin" 加载 https://third-party.com/widget.html，allow-same-origin 会被浏览器静默忽略，不报错也不生效。它不是“我信它”，而是“它确实和我同源”的凭证。
- 浏览器在校验时严格比对协议 + 域名 + 端口三者是否完全一致；
localhost:3000和localhost:80视为不同源 - 加了
allow-same-origin却不同源，既得不到 localStorage 权限，又暴露配置疏漏，可能被用于试探信任边界 - 同源 iframe 中仍无法访问
window.parent或父页 DOM——DOM 隔离是 sandbox 的硬边界，allow-same-origin只影响存储和 fetch 请求 - 生产环境嵌第三方内容时，永远不要加
allow-same-origin
最容易被忽略的点是：sandbox 生效后，子页的 document.cookie、localStorage、fetch() 请求全部隔离，哪怕你确认“它应该能读”，也得先查 iframe.sandbox.length > 0 看权限是否真开了，再看浏览器控制台是否有 silent fail。
