只加sandbox属性即禁用表单提交：无论sandbox=""或sandbox，表单提交均被静默拦截，需显式添加allow-forms才可解禁；仅allow-scripts不启用提交能力，且提交仍受CORS约束。
只加sandbox属性就禁用表单提交
只要写了sandbox（无论带不带值，比如sandbox=""或sandbox），表单提交就被静默拦截——点击<input type="submit">或调用form.submit()都无响应，控制台也不报错。这不是“限制”，是默认全关。
sandbox="allow-scripts"仍不能提交表单
只开allow-scripts能让外链 JS 运行，但<form></form>提交行为依然被锁死。常见误判是以为 JS 能跑，表单就能发，其实二者权限独立。
-
sandbox="allow-scripts"→ JS 可执行，fetch()可用，但<form method="POST"></form>点击后页面不动 - 必须显式加上
allow-forms才解禁提交能力，例如：sandbox="allow-scripts allow-forms" - 即使开了
allow-forms，提交目标仍受 CORS 控制：若后端没配Access-Control-Allow-Origin，照样 403 或预检失败
禁用表单提交但保留其他能力的组合
想让内嵌页能跑 JS、能弹窗、能读写 DOM，唯独不让它提交表单，就**不要加allow-forms**——这是最直接、最可靠的方式。
-
sandbox="allow-scripts allow-popups"：JS 和window.open()可用，但<form></form>点不动 -
sandbox="allow-scripts allow-same-origin"：仅当同源时生效，但allow-same-origin本身不赋予表单提交权，仍需allow-forms才可提交 - 注意：
allow-top-navigation和allow-forms一样，是独立开关；不开它，表单就不会跳转顶层页面，但提交本身仍需allow-forms才能触发
验证表单是否真被禁用
别靠“按钮没反应”来判断，要查 DOM 层面的实际权限状态：
立即学习“前端免费学习笔记（深入）”；
- 在控制台执行：
document.querySelector('iframe').sandbox，返回空DOMTokenList []说明什么都没开，表单必然被禁 - 如果返回类似
DOMTokenList ["allow-scripts"]，但没allow-forms，那表单就是明确被锁死的 - 提交失败时浏览器不抛异常，所以不能依赖
catch捕获；得靠检查 sandbox 值 + 后端日志确认请求是否到达
allow-forms不是“增强功能”，而是“打开闸门”——它一旦开启，表单就能发出任意 POST/GET 请求，后端必须自己做 CSRF 防护和参数校验，沙箱本身不代劳。 
