空sandbox属性等于全锁死而非默认安全，即脚本不执行、onclick失效、表单无响应、window.open()静默拦截、localStorage抛SecurityError、console.log不输出，浏览器不报错而直接丢弃行为；必须显式声明如allow-scripts等权限token才能逐项放行。
空 sandbox 属性等于全锁死，不是“默认安全”而是“默认瘫痪”
写成 <iframe sandbox> 或 <iframe sandbox=""> 会让 iframe 进入硬性隔离状态：脚本不执行、onclick 失效、form 提交无响应、window.open() 静默拦截、localStorage 访问抛 SecurityError、甚至 console.log 都不会输出。浏览器不报错，只是直接丢弃行为。
这不是 JS 写错了，是权限被底层策略截断。控制台执行 iframe.sandbox 返回空 DOMTokenList [] 就说明没开任何权限。
- 必须显式写
sandbox="allow-scripts"才能跑 JS，只写sandbox等于关掉一切主动能力 - 多个权限用空格分隔，不是逗号或分号：
sandbox="allow-scripts allow-forms" - 动态设置
iframe.sandbox = "allow-scripts"无效——属性必须在 DOM 插入前就存在
allow-scripts 不恢复内联事件，别指望 onclick 能用
allow-scripts 只解禁外部/内嵌 <script> 标签和 eval() 类执行，但 HTML 内联事件处理器（如 onclick="alert(1)"、onload、javascript:void(0)）仍被屏蔽。这是因为它们属于解析阶段行为，受更底层沙箱策略约束。
控制台不会报错，绑定完全不生效，页面看起来“按钮点了没反应”。
立即学习“前端免费学习笔记（深入）”；
- 正确做法：把逻辑移入外部 JS 或
srcdoc中的<script>块，再用addEventListener绑定 - 如果必须兼容第三方无法修改的 HTML（含大量
onclick），仅加allow-scripts不够；可试allow-popups（部分浏览器会放宽，但不可靠） -
allow-scripts单独启用时，fetch()跨域请求仍受限，响应体不可读，需配合服务端 CORS 才能拿到完整数据
allow-same-origin 不是信任开关，而是同源校验后的解锁钥匙
allow-same-origin 单独写毫无意义。浏览器会先检查 iframe 的 src 是否与父页严格同源（协议 + 域名 + 端口全一致），不同源时该 token 直接被忽略，且不报任何警告。
比如父页是 https://a.com，iframe src 是 https://b.com/widget.html，硬加 allow-same-origin 也得不到 localStorage 权限，fetch() 同源请求照样被拦。
- 只有
allow-scripts allow-same-origin同时存在，且src确实同源时，localStorage、同源fetch()、document.write()才可能恢复 - 即便如此，
window.parent和父页面 DOM 仍不可访问——这是 sandbox 的硬隔离边界 - 生产环境嵌第三方内容时，绝对不要加
allow-same-origin；它只适用于内部可信同源页面（如https://yourdomain.com/admin.html）
表单提交、弹窗、下载等能力需单独放行
默认状态下，<form> 提交点击无反应、window.open() 被拦截、触发 a[download] 下载失败——这些不是 bug，是 sandbox 的设计逻辑：每个功能都必须显式授权。
- 允许表单提交：加
allow-forms - 允许弹窗：加
allow-popups（注意allow-popups-to-escape-sandbox才能让弹出窗口脱离沙箱限制） - 允许全屏：加
allow-fullscreen（配合allow="fullscreen"属性更稳妥） - 允许调用
alert()/confirm()：加allow-modals
组合权限时别堆砌，按真实需求最小化授权。比如嵌广告只需 allow-scripts allow-popups，嵌问卷才加 allow-forms；一旦混进 allow-same-origin，就得确认 URL 真同源、服务端返回正确 CORS 头，否则就是配置失效还留隐患。
