必须显式声明sandbox权限token，否则空值sandbox或sandbox=""会触发底层拦截导致白屏和net::ERR_BLOCKED_BY_RESPONSE；最低可行配置为sandbox="allow-scripts"，但需配合postMessage通信且严格校验origin。
iframe 沙箱必须带明确权限 token，否则直接白屏
只写 sandbox 或 sandbox="" 不是“开了沙箱”，而是让浏览器彻底拒收响应体——Network 里出现 net::ERR_BLOCKED_BY_RESPONSE，iframe 一片空白，连 HTML 标签都没解析。这不是加载慢或 JS 报错，是底层内容拦截策略生效了。
多组织并行开发时，各团队提交的 HTML 片段可能含图表库、表单逻辑、第三方 SDK，至少得开 sandbox="allow-scripts" 才能执行外链脚本；若需 DOM 交互（如点击反馈），还得配合 postMessage 主动通信，不能依赖 onclick 或内联事件。
-
sandbox="allow-scripts"是最低可行配置，但会强制 iframe 的window.origin为"null"，所有存储 API（localStorage、document.cookie）都绑定到临时匿名上下文，刷新即丢 - 别信 DevTools 的 Application 面板显示，验证要用控制台直接跑
Object.keys(localStorage)或localStorage.length -
sandbox="allow-scripts allow-same-origin"仅在 iframesrc与父页**严格同源**（协议+域名+端口全一致）时才生效；否则该 token 被静默忽略，仍为nullorigin
Blob URL 才能真正隔离 JS 执行上下文
用 iframe.contentDocument.write() 或 srcdoc 渲染编辑器预览，哪怕只改一行 HTML，也会复用旧文档上下文——const x = 1 声明过一次，第二次 write() 就报 Identifier 'x' has already been declared。这不是语法错误，是解析阶段冲突，try/catch 捕不到。
Blob URL 是唯一能保证“一次一文档”的原生机制：每次调用 URL.createObjectURL(new Blob([htmlString], {type: 'text/html'}))，浏览器就生成一个全新、独立、无历史痕迹的文档实例，变量、定时器、事件监听器全部清空。
立即学习“前端免费学习笔记（深入）”；
- 记得在
iframe.onload里调用URL.revokeObjectURL(url)，否则内存泄漏 -
srcdoc和about:blank都无法规避上下文复用问题，不要尝试“先document.open()再write()”来清空——无效 - 生成的
blob:地址自动绑定nullorigin，天然符合沙箱安全边界
状态同步必须走 postMessage，且 origin 必须校验
沙箱 iframe 默认无法访问 window.parent，parent.postMessage() 是唯一受控通道。多组织共用同一套验证平台时，不同团队提交的 HTML 可能包含恶意 postMessage 广播，不校验 event.origin 会导致状态污染或 XSS 传递。
- 父页监听必须显式比对
e.origin，禁止用'*'—— 例如只接受来自https://team-a.example.com的消息 - iframe 内不应主动读写父页数据，所有变更（如输入值、错误码、渲染耗时）都应封装成结构化对象发送，例如
{ type: 'VALIDATION_RESULT', data: { htmlValid: true, warnings: [] } } - 避免在 iframe 内调用
localStorage或fetch存储/上报结果——这些请求绑定到临时 origin，父页不可见，且 Safari 下可能被静默拒绝
第三方组件注入需限制 API 表面暴露范围
多组织常引入外部 UI 组件（如富文本工具栏、图表渲染器），它们可能尝试调用未授权的硬件或系统 API。不能靠信任组件代码，而要在沙箱层做 API 白名单拦截。
可在 iframe 加载前，通过 iframe.contentWindow 注入一个受限全局对象（如 window.sandboxAPI），只挂载允许调用的方法（如 sandboxAPI.log()、sandboxAPI.reportError()），同时覆盖或删除 eval、Function、document.write 等高危函数。
- 注意：
sandbox="allow-scripts"不等于允许所有 JS 行为——javascript:void(0)、onerror、data:text/html,URI 全部被静默拦截，无需额外封禁 - 若组件依赖
navigator.geolocation或MediaDevices.getUserMedia，需提前在父页申请权限并透传结果，沙箱内直接调用会失败（Safari 尤其严格） - Web Worker 不适合此处——它无法直接操作 DOM，而 HTML 验证沙箱的核心诉求是实时渲染与交互反馈
