allow属性必须用分号分隔权限项，空格或逗号会彻底失效；每个权限后必须跟括号包裹的来源列表，如allow="geolocation 'self' https://maps.example.com; fullscreen ()"，且需与父页面Permissions-Policy响应头协同生效。
allow属性必须用分号分隔权限项，空格或逗号会彻底失效
浏览器（Chrome 100+、Firefox 100+）已废弃空格/逗号分隔的旧写法，allow="geolocation clipboard-read" 或 allow="geolocation, camera" 都会被忽略，等同于没写。这不是兼容性问题，而是语法校验失败。
- 正确格式：每个权限后必须跟来源列表，用括号
()包裹，多个权限用分号;连接 - 错误示例：
allow="camera; geolocation 'self'"——'self'缺少括号，整个geolocation项被丢弃 - 正确示例：
allow="camera; geolocation 'self' https://maps.example.com; fullscreen ()" - 注意：
fullscreen ()表示显式禁止，比不写更可靠；clipboard-read 'self'中的单引号不能省略
跨域 iframe 必须同时满足 allow 属性 + 父页面 Permissions-Policy 响应头
allow 只是子帧的“申请白名单”，父页面的 HTTP 响应头 Permissions-Policy 才是最终闸门。两者取交集，缺一不可。
- 若父页响应头为
Permissions-Policy: camera=()，哪怕allow="camera"写得再对也无效 - 跨域场景（如嵌入
https://widget.example.net）时，父页头必须明确列出该源：Permissions-Policy: camera=(self "https://widget.example.net") - 开发时用
localhost测试可行，但生产环境不能用*替代真实域名（camera=*被现代浏览器拒绝） - 检查方式：打开 DevTools → Network → 找到 iframe 的 src 请求 → Headers → Response Headers → 查看
Permissions-Policy是否存在且格式合规
常见权限值拼写与组合陷阱
权限标识符大小写不敏感，但拼写必须精确。写错一个字母或连字符，整项即失效，且无控制台警告。
-
geolocation不是geo-location或location；clipboard-read不是clipboard_read -
camera单独写无法启用视频流，必须搭配microphone（allow="camera; microphone"） -
fullscreen不能写成full-screen或allow-fullscreen；payment仅对 Payment Request API 生效，和普通表单无关 -
display-capture需用户主动触发（如点击“共享屏幕”按钮），且仅在 HTTPS 下可用
动态创建 iframe 时 allow 必须在设置 src 前挂载
用 document.createElement('iframe') 创建后，如果先赋值 iframe.src 再设 iframe.allow，权限将不生效——浏览器已在加载阶段完成策略解析。
立即学习“前端免费学习笔记（深入）”；
- 正确顺序：
const iframe = document.createElement('iframe'); iframe.allow = 'geolocation; camera'; iframe.src = 'https://embed.example.com'; - 若使用
srcdoc，iframe 默认无源（about:srcdoc），此时allow会被忽略，必须加sandbox="allow-scripts allow-same-origin" - 避免用
document.write注入 iframe，它绕过标准解析流程，权限策略不继承 - 移动端 Safari 对
camera支持弱，即使配置全对，也可能需用户手动在系统设置中开启网站相机权限
allow，而在于每一条是否通过了三层校验：语法格式、来源匹配、用户手势触发。漏掉任意一层，API 调用就静默失败，连 NotAllowedError 都不会抛。 
