空值或空字符串的sandbox属性会彻底禁用iframe内容解析，导致白屏及net::ERR_BLOCKED_BY_RESPONSE错误；必须显式声明如allow-scripts等权限才能启动加载，且allow-scripts仅解禁外链脚本，不恢复内联事件或eval。
iframe sandbox 属性必须显式声明权限，空值或空字符串会导致白屏
直接写 sandbox 或 sandbox="" 不是“启用沙箱”，而是彻底禁用内容解析。浏览器会拦截整个响应体，Network 面板显示 net::ERR_BLOCKED_BY_RESPONSE，iframe 保持空白，控制台无报错——这不是加载失败，是底层策略拒绝解析 HTML 文本流。
广告组件通常依赖脚本执行（如曝光上报、互动监听），至少需 sandbox="allow-scripts" 才能启动。但注意：allow-scripts 只解禁外链 <script src>，不恢复内联事件（onclick、javascript:void(0)）、document.write() 或 eval()，这些仍被静默屏蔽。
-
window.origin强制为"null"，无法访问window.parent或父页 DOM - localStorage、cookie 等存储绑定到临时匿名上下文，刷新即丢，DevTools 的 Application 标签页可能为空或显示
(inactive) - 若广告需回调状态（如点击、播放完成），必须用
postMessage，且父页必须校验event.origin，不能用'*'
动态行为分析需分阶段放宽 sandbox 权限
静态扫描无法识别混淆后的行为，必须在受控环境中运行并监控实际操作。推荐三步渐进式沙箱策略：
- 第一阶段：
sandbox="allow-scripts"—— 观察是否尝试 DOM 注入、调用fetch或XMLHttpRequest、重定向到可疑域名 - 第二阶段：
sandbox="allow-scripts allow-popups"—— 检查是否弹窗、打开新 tab，或滥用window.open绕过广告过滤 - 第三阶段：
sandbox="allow-scripts allow-same-origin"—— 仅当广告资源与父页同源（协议+域名+端口完全一致）时才生效；否则该 token 被浏览器静默忽略，localStorage仍不可读写，DOM 访问仍被阻断
每阶段都应捕获 console 输出、网络请求、DOM 变更和 postMessage 流量，用 MutationObserver + performance.getEntriesByType('navigation') 辅助追踪异常跳转。
立即学习“前端免费学习笔记（深入）”；
自动化测试中必须拦截并记录第三方脚本的 network 请求
广告 SDK 常通过动态 fetch 或 Image 打点上报用户行为，这是恶意行为高发点。不能只看 script 加载，要监控其运行时发起的请求：
- 重写
window.fetch和XMLHttpRequest.prototype.send，记录所有目标 URL、headers 和 body（注意避免影响广告自身逻辑） - 拦截
new Image().src = url类型的像素打点，可通过代理Image.prototype.srcsetter 实现 - 对返回 204/302 的请求重点标记——这类响应常用于隐蔽数据外泄，不返回内容但携带敏感参数
- 禁止广告脚本访问
navigator.geolocation、navigator.mediaDevices等敏感 API，可用Object.defineProperty(navigator, 'geolocation', { get() { throw new Error('Geolocation blocked'); } })主动抛错
沙箱环境与真实渲染上下文存在关键差异
iframe 沙箱隔离的是执行环境，不是渲染管线。这意味着：
- CSS 样式仍可穿透影响父页（除非用
scoped或 Shadow DOM），广告注入的body { display: none !important }会全局生效 - 字体加载、WebGL 渲染、Canvas 图像导出等能力不受 sandbox 限制，但可能触发跨域策略或 CORS 错误，掩盖真实风险
- 某些广告使用
document.domain尝试降域通信，这在 sandbox 下直接报错，但错误可能被 try-catch 吞掉，需检查未捕获异常日志 - 沙箱 iframe 的
contentWindow在 Chrome 中默认延迟初始化，iframe.contentWindow可能为null直到 onload 触发，直接访问会报Blocked a frame with origin "null" from accessing a cross-origin frame
真正难测的不是脚本执行，而是它如何与父页样式、布局、事件流耦合——这部分必须结合视觉回归测试和手动探查，沙箱本身无法覆盖。
