广告 iframe 的 sandbox 属性必须显式声明权限，空值 sandbox="" 会导致内容被浏览器底层拦截而白屏；最低需设为 sandbox="allow-scripts"，且须在 DOM 插入前设置，动态赋值无效。
广告 iframe 必须显式声明 sandbox 权限，空值等于彻底拦截
只写 sandbox 或 sandbox="" 会让浏览器直接拒收 HTTP 响应体，Network 面板显示 net::ERR_BLOCKED_BY_RESPONSE，iframe 白屏、无 DOM 解析、控制台静默——这不是加载失败，是内容被底层拦截。你连 alert(1) 都看不到。
实操建议：
立即学习“前端免费学习笔记（深入）”；
-
sandbox属性必须带明确 token，最低要求是sandbox="allow-scripts" - 动态设置
iframe.sandbox = "allow-scripts"无效，属性必须在 DOM 插入前就存在 - 验证是否生效：控制台执行
document.querySelector('iframe').sandbox，返回空DOMTokenList []就说明全锁死 - 严禁用
sandbox="allow-scripts allow-same-origin"加载跨域广告，不同源时allow-same-origin被浏览器静默忽略，还暴露配置疏漏
allow-scripts 不等于“广告能跑”，它只解禁外链脚本
allow-scripts 只让 <script src="..."> 能下载执行，但所有内联行为仍被静默丢弃：onclick、javascript:void(0)、target="_blank"、表单提交、window.open() 全部失效，不报错也不响应。
实操建议：
立即学习“前端免费学习笔记（深入）”；
- 广告 SDK 若依赖内联 JS（如 onclick 绑定或跳转逻辑），必须确认其支持无内联模式；否则得改用
fetch拉取 HTML 片段后注入innerHTML -
localStorage.setItem()不报错但写入无效，刷新即丢，DevTools Application 面板显示为(inactive)，别信 UI，用Object.keys(localStorage)验证 - 需要弹窗或新窗口？必须加
allow-popups，且仅与allow-scripts搭配使用 - 表单提交需
allow-forms，但提交目标受 CORS 控制，不是加了就能发出去
广告脚本不能放 head，async 也得挪到 body 开头
广告 SDK 同步加载会卡死 HTML 解析：浏览器遇到没加 async 或 defer 的 <script src="ad.js"></script>，立刻暂停解析，等脚本下载执行完才继续——首屏 DOM 树构建就此中断，不是“慢”，是“停”。
实操建议：
立即学习“前端免费学习笔记（深入）”；
- 所有广告脚本（如
gpt.js、qg.js）必须加async，且绝对禁止放在<head>里 - 把
<script async src="https://securepubads.g.doubleclick.net/tag/js/gpt.js"></script>移到<body>开头，紧贴首屏容器之后 - 删掉所有内联初始化代码（如
googletag.cmd.push(...)），统一用googletag.enableServices()在 async 脚本加载完成后调用 - 避免
loading="lazy"：广告 iframe 多数动态创建或跨域 src，该属性被忽略，反而可能触发重复请求和计费
沙箱 iframe 的 storage 和 origin 是隔离的，别指望共享 cookie 或 localStorage
沙箱 iframe 的 origin 被强制设为 null，与父页完全无关。这意味着 document.cookie、localStorage、sessionStorage、IndexedDB 全部绑定到一个临时、匿名、无持久化的上下文里。
实操建议：
立即学习“前端免费学习笔记（深入）”；
- 广告需要用户状态？由父页统一管理，iframe 仅通过
window.parent.postMessage()上报变更，父页接收时必须校验event.origin - 不要用
allow-same-origin试图绕过——它只在 src 与父页协议+域名+端口**完全一致**时才生效，否则被静默忽略 - 若广告需持久化配置（如用户偏好），父页应提供 API 接口，iframe 通过 postMessage 请求写入，而非自己操作 storage
- 测试时别依赖 DevTools 的 localStorage 标签页，它的显示常误导；直接执行
localStorage.length或Object.keys(localStorage)才真实
allow- token 都要确认广告 SDK 是否真需要它——多开权限等于少隔离。最容易被忽略的是：空 sandbox 值比不加更危险，它制造“已隔离”的假象，实则连基础渲染都失败。 
