加了sandbox属性iframe就白屏或JS不运行，因为sandbox不带值（如<iframe sandbox>）等价于启用全部限制：JS不解析、onclick失效、fetch()报错、localStorage被拒、表单无响应、window.open()静默拦截，浏览器直接丢弃行为而不报错；验证方法是控制台执行document.querySelector('iframe').sandbox返回空DOMTokenList[]，Network面板可能显示net::ERR_BLOCKED_BY_RESPONSE。
为什么加了sandbox属性 iframe 就白屏或 JS 完全不运行
因为sandbox不带值（如<iframe sandbox>）等价于启用全部限制：JS 不解析、onclick失效、fetch()报错、localStorage访问被拒、表单点击无反应、window.open()静默拦截。浏览器不会报错，而是直接丢弃行为。
验证方法：控制台执行document.querySelector('iframe').sandbox，返回空DOMTokenList []就说明没开任何权限。
- Network 面板可能显示
net::ERR_BLOCKED_BY_RESPONSE——不是后端问题，是沙箱直接拒绝解析响应体 -
srcdoc内容也会被锁死，除非显式加权限 - 哪怕只写
sandbox=""，效果和sandbox完全一样
sandbox="allow-scripts"为什么 onclick 还是不触发
allow-scripts只解禁外链脚本（<script src="xxx.js"></script>）和eval()类执行，但内联事件处理器（onclick、onload、javascript:void(0)）仍被屏蔽，且不报错。
- 必须改用
addEventListener绑定事件 -
<script>alert(1)</script>在沙箱中静默忽略，不执行也不报错 -
document.write()、同步XMLHttpRequest、Function构造器一律禁用 - 动态设置
iframe.sandbox = "allow-scripts"无效，必须在 DOM 插入前写死属性值
allow-same-origin到底能不能让 iframe 读写父页 cookie
不能。该 token 仅在 iframe 的src与父页**协议+域名+端口全一致**时才被浏览器识别；否则直接忽略，不报错也不生效。
Article To Html
下载
文章转信息图。将文章/笔记转化为手机可读的 HTML 信息图，自动匹配视觉风格。触发场景：文章转图、笔记转图、信息图、转小红书图、做张图、可视化这篇文章、文生图。
立即学习“前端免费学习笔记（深入）”；
- 父页是
https://a.com，iframesrc是https://b.com/widget.html→allow-same-origin无效，document.cookie仍为空字符串 - 即使同源 +
allow-scripts allow-same-origin，iframe 依然无法访问window.parent或父页 DOM —— 这是 sandbox 的硬隔离边界 - 沙箱 iframe 的 origin 强制为
"null"，所有存储 API（localStorage、cookie）都绑定到临时上下文，刷新即丢 - DevTools 的 Application 面板对沙箱 storage 显示严重误导，验证必须用控制台执行
document.cookie或Object.keys(localStorage)
生产环境嵌第三方内容时哪些权限组合绝对要避开
堆砌权限等于关掉沙箱。每个allow-* token 都意味着额外攻击面，必须按最小权限原则配。
-
sandbox="allow-scripts allow-same-origin allow-popups allow-forms allow-top-navigation"—— 和没加sandbox几乎一样危险 - 对第三方内容硬加
allow-same-origin：不同源时无效，还暴露配置疏忽，可能被用于试探信任边界 -
allow-top-navigation极易被用于钓鱼，应优先用allow-top-navigation-by-user-activation - 只展示静态内容时，
sandbox=""（全禁）比乱加权限更安全
真正需要通信的场景，唯一可靠通道是window.postMessage()，且父页必须校验event.origin，不能依赖allow-same-origin绕过验证。
