sandbox属性不解决跨域，仅限制已加载跨域iframe的能力；空值时完全禁用脚本、表单等所有功能，须显式添加allow-scripts等权限token才能启用对应能力。
iframe 的 sandbox 属性本身不解决跨域，但能限制跨域 iframe 的能力
直接说结论：sandbox 属性不会让跨域 iframe 绕过同源策略，它只是给那个已经加载成功的跨域页面套上一层“牢笼”。如果目标页面根本加载不了（比如被 CORS 或浏览器策略拦截），加 sandbox 也没用——先得确保它能加载进来。
常见错误现象：Failed to execute 'postMessage' on 'DOMWindow': The target origin provided ('https://example.com') does not match the recipient window's origin，或者 Blocked a frame with origin "https://a.com" from accessing a cross-origin frame。这些不是 sandbox 能修的，是通信或访问权限问题。
-
sandbox只在 iframe 加载后生效，不影响加载阶段的跨域校验 - 默认值是空字符串，等价于
sandbox="true"，即完全禁用脚本、表单、插件、弹窗等所有能力 - 必须显式添加权限 token 才能启用对应功能，比如
sandbox="allow-scripts allow-same-origin"
allow-same-origin 是危险开关，仅在可信跨域场景下使用
allow-same-origin 让沙盒内的 iframe “假装”和父页同源——但这只在 iframe 加载的是同协议+同端口+同域名资源时才真正安全。如果 iframe src 是 https://evil.com/widget.html，加上这个 token 后，它就能读取父页的 document.cookie、调用 localStorage，甚至执行 document.write() 注入内容。
- 对第三方嵌入（如广告、统计脚本），绝不能加
allow-same-origin - 即使目标域名可控，也要确认它没被 XSS 污染；否则等于主动开放 DOM 访问权
- Chrome 95+ 对
allow-same-origin+src为 data URL 或 javascript: 的组合会直接忽略该 token
常用 sandbox 权限组合与实际效果
权限 token 是空格分隔的字符串，没有顺序要求。关键是要按需最小化授权：
立即学习“前端免费学习笔记（深入）”；
-
sandbox="allow-scripts"：允许运行 JS，但禁止访问父文档、禁止读写 localStorage、禁止提交表单 -
sandbox="allow-scripts allow-popups"：JS 可以window.open()，但新开窗口仍是沙盒化的 -
sandbox="allow-scripts allow-forms"：表单可提交，但提交目标受同源限制（除非搭配allow-popups弹新窗口） -
sandbox=""（空值）= 全部禁用；sandbox="allow-scripts allow-same-origin"= 风险最高组合
示例：
<iframe src="https://widget.example.com/embed.js" sandbox="allow-scripts allow-popups"></iframe>——这个 widget 可以执行 JS、打开新窗口，但无法读取父页 DOM 或 cookie。
跨域通信必须配合 postMessage，sandbox 不影响它的基础可用性
sandbox 默认禁用 postMessage？不。只要没显式加 allow-scripts，iframe 里连 JS 都跑不了，自然没法发消息。但一旦加了 allow-scripts，postMessage 就能用，且不受 sandbox 限制——它本身就是设计来安全跨域通信的机制。
- 父页监听：
window.addEventListener('message', handler)，检查event.origin和event.source - iframe 内发送：
parent.postMessage(data, 'https://trusted-parent.com') - 注意：
allow-scripts是前提，allow-same-origin不是必需的
容易被忽略的一点：如果 iframe 页面自己也调用了 document.domain = 'example.com'，而父页没做同样操作，postMessage 仍可能因 origin 校验失败被丢弃——这和 sandbox 无关，是传统同源策略残留问题。
