直接加sandbox无值导致广告彻底失能，因浏览器拒收HTTP响应体、跳过HTML解析，iframe白屏且报net::ERR_BLOCKED_BY_RESPONSE；必须显式声明如allow-scripts才能启动加载。
直接给广告 iframe 加 sandbox 却不写任何权限值，等于主动关掉整个广告——白屏、无请求、控制台静默，Network 面板只显示 net::ERR_BLOCKED_BY_RESPONSE。这不是配置没生效，是浏览器压根拒绝解析响应体。
为什么 sandbox 或 sandbox="" 会让广告彻底失能
空值或无值的 sandbox 触发的是最底层拦截：HTTP 响应体被丢弃，HTML 解析流程跳过，DOM 根本不构建。现象不是“JS 没跑”，而是“连 <html> 都没进 parser”。广告 SDK 依赖 DOM 初始化、资源加载链、事件绑定三步走，这一步卡死，后面全废。
- Network 面板看到的是
Failed to load resource: net::ERR_BLOCKED_BY_RESPONSE，不是 404 或 CORS 错误 -
document.querySelector('iframe').sandbox返回空DOMTokenList []，说明所有权限锁死 - 反复检查 CDN 地址、HTTPS 状态、CSP 头都没用——问题不在网络层，而在 HTML 属性本身
sandbox="allow-scripts" 为什么广告仍不弹窗、不跳转、不响应点击
allow-scripts 只解禁外链脚本（<script src="xxx"></script>）的加载与执行，其他所有主动行为默认静默拦截，不报错、不提示、不 fallback。
-
window.open()、location.href = 'xxx'、target="_blank"全部失效，广告点击后无反应 - 内联事件如
onclick="track()"、javascript:void(0)完全不触发，必须改用addEventListener -
localStorage.setItem()不报错但写入无效，DevTools Application 面板里 storage 显示为(inactive) - 表单提交后静默失败，不跳转、不报错、network 里看不到请求发出
生产环境推荐的最小安全组合及高危禁用项
广告插件不需要读写父页 cookie、不需跳转顶层页面、不需提交表单，只应允许脚本执行和有限弹窗（如跳转到广告主落地页）。每个加上的 token 都是攻击面，不能堆砌。
立即学习“前端免费学习笔记（深入）”；
- 基础可用：
sandbox="allow-scripts allow-popups"（启用弹窗仅限新窗口，不危害父页） - 视频类广告可追加：
allow-autoplay（注意部分浏览器仍需用户手势） - 绝对禁止：
allow-same-origin（广告脚本能读取父页 cookie）、allow-top-navigation（可执行top.location = 'https://phishing.site'） - 不要加
allow-forms：广告从不提交表单；加了反而暴露 XSS 利用路径
动态设置 iframe.sandbox 属性为什么无效
浏览器只在 iframe 插入 DOM 前解析 sandbox 属性值。JS 动态赋值 iframe.sandbox = "allow-scripts" 不会触发重新加载或权限重校验，属于无效操作。
- 必须在 HTML 中写死，例如：
<iframe src="https://ad.example.com/widget" sandbox="allow-scripts allow-popups"></iframe> - 服务端渲染或模板引擎中拼接时，确保字符串值非空且不含空格、换行等非法字符
- 若需运行时切换权限（极少见），只能销毁并重建 iframe 节点，代价高、状态难保持
真正容易被忽略的点是：sandbox 不是开关，是白名单；它不判断“谁可信”，只执行“能做什么”。哪怕广告来源看起来很正规，只要用了 allow-same-origin，就等于主动放弃同源策略防线。权限越小，越要确认它真够用——比如 allow-popups 是否足以支撑广告跳转逻辑，而不是靠 top.location 硬来。
