空 sandbox 属性导致 iframe 白屏和 net::ERR_BLOCKED_BY_RESPONSE，因响应体被拒收、HTML 解析跳过；必须显式声明至少一个 token（如 allow-scripts），且 sandbox 属性需在插入 DOM 前设置。
空 sandbox 属性直接导致 iframe 白屏和 net::ERR_BLOCKED_BY_RESPONSE
只写 sandbox 或 sandbox="" 不是“开了沙箱”，而是触发浏览器最底层的内容拦截：HTTP 响应体被拒收，HTML 解析跳过，连 <script> 标签都不会被处理。现象是 iframe 完全空白，Network 面板显示 net::ERR_BLOCKED_BY_RESPONSE，控制台静默无报错。
这不是加载失败，是内容根本没进 DOM 构建流程。验证方式很简单：document.querySelector('iframe').sandbox 返回空 DOMTokenList [] 就说明权限全锁死。
- 动态设置
iframe.sandbox = "allow-scripts"无效——属性必须在元素插入 DOM 前就存在 - 别把
sandbox=""当成“最小隔离”，它比不加属性更危险：制造“已防护”假象，实则连基础渲染都失败 - 修复唯一路径：显式声明至少一个 token，例如
sandbox="allow-scripts"
allow-scripts 单独启用时，广告/SDK 仍不响应点击或弹窗的原因
allow-scripts 只解禁外链脚本（<script src="...">）的加载与执行，其他所有主动行为默认静默拦截——不报错、不提示、只丢弃。
典型失效行为包括：onclick 内联事件、javascript:void(0)、window.open()、表单提交、localStorage.setItem()（写入不报错但刷新即丢）、eval() 和 Function 构造器。
立即学习“前端免费学习笔记（深入）”；
- 广告 SDK 若依赖内联绑定（如旧版 AdSense 的
onclick="track()"），必须改用addEventListener -
allow-scripts不递归授权：外链脚本里再document.write()或动态创建<script>，仍被禁止 - 视频自动播放需额外加
allow-autoplay，且部分浏览器仍要求用户手势触发
allow-same-origin 是高危幻觉，不同源时它根本不起作用
写成 sandbox="allow-scripts allow-same-origin" 看似“既跑脚本又读存储”，但 allow-same-origin 仅在 src 与父页协议+域名+端口三重一致时才被浏览器识别；否则该 token 被静默忽略，DevTools 中 storage 显示为 (inactive)，document.cookie 读不到，localStorage 写入无效。
- 第三方广告、统计脚本、用户上传 HTML 绝对不要加
allow-same-origin——它不会给你权限，只会暴露你没校验来源 - 即使同源 +
allow-same-origin，iframe 内脚本依然无法访问window.parent或跨 frame 操作 DOM——这是 sandbox 的硬隔离，不可绕过 - 持久化数据必须由父页统一管理，iframe 仅通过
postMessage上报状态，且父页监听时必须校验e.origin，不能用'*'
生产环境嵌第三方标签的最小安全组合
广告、分析 SDK、可视化图表等绝大多数第三方组件，只需运行 JS 并支持有限交互，不需要读写父页存储、不需提交表单、更不能跳转整个页面。
- 基础可用：
sandbox="allow-scripts allow-popups"（允许脚本执行 + 用户手势触发的window.open()） - 含视频自动播放：
sandbox="allow-scripts allow-popups allow-autoplay" - 绝对禁用：
allow-same-origin、allow-top-navigation、allow-forms（广告从不提交表单，加了反而扩大 XSS 攻击面） - 若需通信，必须用
postMessage+e.origin校验，而非依赖沙箱权限
真正容易被忽略的是：sandbox 不是开关，是白名单；它不判断“谁可信”，只执行“能做什么”。每多一个 token，就是多一条攻击路径。
