空sandbox属性等于彻底锁死：浏览器拒收响应体导致白屏和net::ERR_BLOCKED_BY_RESPONSE，DOM无内容且控制台静默；必须静态设置如sandbox="allow-scripts"才能启动解析与执行。
iframe sandbox 属性写空值就等于彻底锁死
写了 sandbox 或 sandbox=""，浏览器不会“启动沙箱”，而是直接拒收整个 iframe 响应体：Network 面板显示 net::ERR_BLOCKED_BY_RESPONSE，DOM 树里连 html 标签都没有，控制台静默无报错。这不是加载失败，是解析流程被拦在最底层。
验证方法很简单：控制台执行 document.querySelector('iframe').sandbox，返回空的 DOMTokenList [] 就说明权限全关。修复只有一条路——把属性值改成明确的 token 组合，至少含 allow-scripts。
动态设置 iframe.sandbox = "allow-scripts" 无效，必须在 DOM 插入前就写死属性值。
allow-scripts 单独启用时，JS 能跑但交互全失效
allow-scripts 只解禁外链脚本（<script src="xxx.js"></script>）的加载与执行，其他所有内联行为仍被静默拦截，且不报错：
立即学习“前端免费学习笔记（深入）”；
-
onclick="track()"、javascript:void(0)点击无响应 -
document.write()、eval()、setTimeout("alert(1)")全部禁止 -
window.open()、location.href、表单提交、localStorage.setItem()都不生效
广告 SDK 或图表库若依赖内联事件绑定，必须改用 addEventListener；懒加载逻辑若靠 JS 补充，需确认该 JS 是外链而非内联。
allow-same-origin 不是信任开关，不同源时直接被忽略
allow-same-origin 仅在 iframe 的 src 与父页协议、域名、端口**完全一致**时才生效；否则浏览器静默忽略该 token，控制台可能警告但不报错。
例如：src="https://third-party.com/widget.html" 却配 sandbox="allow-scripts allow-same-origin"，allow-same-origin 实际无效，localStorage 仍是独立匿名上下文，刷新即丢，父页永远访问不到。
即使同源生效，它也只影响存储和 cookie 访问权限，不解除 sandbox 对 DOM 的强制隔离：window.parent、document 跨 frame 访问依然被禁。
生产环境推荐的最小安全组合
第三方插件不需要读写父页存储、不需跳转顶层页面、不需提交表单——那就别给它们这些能力：
- 广告/可视化组件：
sandbox="allow-scripts allow-popups"（弹窗限用户手势触发） - 用户填写的问卷：
sandbox="allow-scripts allow-forms allow-popups"（表单提交走 CORS） - 同源可信子系统：
sandbox="allow-scripts allow-same-origin allow-forms"（必须确认 URL 真同源）
绝对避开：allow-top-navigation（整页跳转钓鱼）、allow-same-origin（除非真同源且必要）、allow-forms（广告从不提交表单）。
状态同步必须走 postMessage，父页监听时必须校验 event.origin，不能写 '*'；沙箱 iframe 内的 localStorage 刷新即丢，别信 DevTools Application 面板显示，用 Object.keys(localStorage) 直接验证。
