多层iframe嵌套时sandbox属性不继承，每层必须独立声明；子iframe未配allow-scripts则JS不执行；跨域通信唯一合规方式是逐跳postMessage并严格校验origin。
多层iframe嵌套时sandbox属性不会自动继承
父iframe开了sandbox="allow-scripts"，子iframe仍默认全锁死——浏览器不传递沙箱策略，每层iframe必须独立声明sandbox属性。你看到的“子页面JS没执行”，大概率是因为它自己没配allow-scripts，而不是父层权限没传下来。
常见错误现象：Uncaught DOMException: Blocked a frame with origin "null" from accessing a cross-origin frame，但报错位置在子iframe内部，说明它的window.parent指向的是父iframe（而非顶层），而父iframe本身又受限于自己的sandbox配置，无法提供可访问的上下文。
- 父iframe加了
sandbox="allow-scripts"，只解禁它自己加载和运行脚本的能力，不影响其内部嵌套的iframe - 子iframe若没写
sandbox，就按标准同源策略运行，可能被CSP拦截或跨域拒绝；若写了但为空值（sandbox=""），则彻底锁死，连HTML解析都跳过 - Chrome 117+ 对多层嵌套中缺失
allow-scripts但含onload的iframe会自动补权，但Safari和旧WebView不会——这导致行为不一致，不能依赖
嵌套层级间通信只能靠postMessage逐跳转发
启用了sandbox后，window.parent、window.top、document.domain全部失效，哪怕三层iframe全是同源，也无法直接访问上层DOM。唯一合规路径是postMessage，且必须每跳都校验event.origin和event.source。
例如：最内层iframe想通知顶层页面“表单提交成功”，不能直接window.top.postMessage(...)，因为window.top不可读；必须先发给父iframe，父iframe验证来源后，再转发给它的父层，依此类推。
立即学习“前端免费学习笔记（深入）”；
- 每层接收方都要检查
e.origin是否在白名单里，不能用'*'，也不能只用e.origin.includes('trusted.com')（攻击者可伪造https://evil-trusted.com） - 每层发送方应在
postMessage的第二个参数明确指定目标origin，如parent.postMessage(data, 'https://parent.example.com') - 若某层iframe是
srcdoc或about:blank初始化，其event.origin为'null'，需显式比对e.origin === 'null'，不能用==或模糊匹配
避免allow-same-origin在嵌套中误用
allow-same-origin在多层嵌套中极易失效且危险：它只对当前iframe的src与**直接父页面**严格同源时生效，不向上穿透。即便三层URL全一样，只要中间某层用了sandbox但没配allow-same-origin，整条链就断了。
更隐蔽的问题是：浏览器静默忽略无效的allow-same-origin——你写了sandbox="allow-scripts allow-same-origin"，但子iframe的src是https://cdn.widget.com/embed.js，这个token实际被丢弃，window.origin仍是"null"，但控制台不报错，容易误判权限已开。
- 不要在任何第三方内容的iframe上加
allow-same-origin，无论嵌套几层 - 同源嵌套场景下，若真需共享localStorage，必须确保每一层iframe都满足协议+域名+端口完全一致，且每一层都显式声明
allow-scripts allow-same-origin - 即使满足同源，
allow-same-origin也不恢复DOM访问能力——parent.document依然undefined，仍须靠postMessage
销毁嵌套iframe时必须手动清理每层上下文
SPA中动态卸载某层iframe，只调用iframe.remove()或设src = ''，只会删DOM节点，各层iframe内的JS执行环境（setInterval、WebSocket、addEventListener('message', ...)）仍在后台运行，内存泄漏且持续监听消息。
正确做法是：从最内层开始，逐层通知退出，再销毁。例如顶层组件卸载前，先向父iframe发{type: 'destroy'}消息，父iframe收到后关闭自身定时器、注销监听、再向它的父层发同样消息，直到顶层。
- 每层iframe的
contentWindow在销毁前应调用.close()（释放资源），再移除DOM - 若某层使用了
srcdoc或动态document.write()，需额外执行iframe.contentDocument?.write('')清空文档流 - React/Vue等框架的
useEffect或onUnmounted钩子无法触发嵌套iframe内JS的清理逻辑，必须靠postMessage主动驱动
