allow-popups必须与allow-scripts共用才生效，单独使用无效；安全起见应搭配rel="noopener noreferrer"或allow-popups-to-escape-sandbox，避免opener劫持。
allow-popups 本身不能单独启用弹窗
直接写 sandbox="allow-popups" 是无效的——浏览器会忽略它。这个值必须和 allow-scripts 同时存在，否则 window.open()、target="_blank" 等触发弹窗的行为一律被拦截。
原因很简单：弹窗本质是脚本行为，没脚本权限，连判断要不要弹窗的逻辑都跑不起来。
-
sandbox="allow-scripts allow-popups"✅ 允许执行脚本 + 允许弹窗（含window.open()和带rel="noopener"的链接） -
sandbox="allow-popups"❌ 不起作用，等价于没加 -
sandbox="allow-scripts"❌ 脚本能跑，但所有弹窗调用静默失败（控制台无报错，window.open()返回null）
实际配法要结合安全边界考虑
只加 allow-scripts allow-popups 很危险：iframe 里的脚本不仅能开新窗口，还能通过 window.opener 反向操控父页面（比如跳转、改 DOM）。除非你完全信任 iframe 内容，否则必须切断 opener 链接。
- 安全写法：
sandbox="allow-scripts allow-popups allow-popups-to-escape-sandbox" - 更推荐：
sandbox="allow-scripts allow-popups"+ 所有链接加rel="noopener noreferrer" - 如果 iframe 加载的是第三方广告或用户提交内容，务必避免
allow-scripts——此时allow-popups本身就没意义
常见失效场景和调试方法
即使配置正确，弹窗仍不生效，大概率是以下问题：
立即学习“前端免费学习笔记（深入）”；
- 父页面用了
document.domain或document.write()，导致 sandbox 权限降级 - iframe 加载的是本地
file://协议，部分浏览器（如 Chrome）会无视 sandbox - 控制台看到
Failed to execute 'open' on 'Window': Blocked a frame with origin "xxx" from accessing a cross-origin frame.——这不是 sandbox 问题，是跨域限制，和allow-popups无关 - 用
window.open(url, '_blank')但没传第 3 个参数（features 字符串），某些旧版 Safari 会拒绝弹窗
替代方案比硬开 sandbox 更可控
如果你只是想让 iframe 里点击链接能新开页，根本不需要 allow-scripts：
- 直接用
<a href="xxx" target="_blank" rel="noopener">——只要 sandbox 包含allow-popups就够了（注意：仍需搭配allow-scripts才真正生效，见第一条） - 更稳妥的做法是父页面监听 iframe 的
message，由父页代为调用window.open()，完全绕过 sandbox 限制 - 若 iframe 内容可控，改用
postMessage触发父页跳转，既安全又不用开 script 权限
真正容易被忽略的是：sandbox 是“全有或全无”的权限模型，allow-popups 看似只管弹窗，实则绑定脚本能力。配错一个字母，或漏掉 allow-scripts，整个机制就哑火。
