直接写 sandbox 或 sandbox="" 就等于全锁死：脚本不执行、表单点不动、弹窗拦截、localStorage 读写失败、Network 显示 net::ERR_BLOCKED_BY_RESPONSE，因 sandbox 是白名单机制，空值即启用全部限制，浏览器静默丢弃所有行为且不报错；验证方式为 document.querySelector('iframe').sandbox 返回空 DOMTokenList []；allow-scripts 是最低要求，但仅解禁外链脚本，内联事件仍被屏蔽，须用 addEventListener；动态设置 sandbox 属性无效，必须插入 DOM 前写死；allow-same-origin 仅在 src 与父页协议+域名+端口完全一致时部分生效，否则被静默忽略，且无法绕过 DOM 隔离；生产环境应按最小权限原则配置，严禁堆砌权限。
直接写 sandbox 或 sandbox="" 就等于全锁死：脚本不执行、表单点不动、弹窗拦截、localStorage 读写失败、Network 显示 net::ERR_BLOCKED_BY_RESPONSE —— 这不是配置没生效，是浏览器连 HTML 都不解析了。
为什么加了 sandbox 却白屏或 JS 完全不运行
因为 sandbox 是白名单机制，不是“开关”。空值或无值即启用全部限制，浏览器静默丢弃所有主动行为，不报错也不提示。
- 在控制台执行
document.querySelector('iframe').sandbox，返回空DOMTokenList []就说明没开任何权限 -
allow-scripts是绝大多数第三方内容的最低要求；没它，<script src="xxx.js">不加载，alert(1)不弹，fetch()直接报错 - 内联事件（如
onclick="..."、javascript:void(0)）即使加了allow-scripts也仍被屏蔽，必须改用addEventListener - 动态设置
iframe.sandbox = "allow-scripts"在 Chrome/Firefox 中无效，只在插入 DOM 前用字符串写死才生效
sandbox="allow-scripts allow-same-origin" 到底有没有用
它只在 iframe 的 src 与父页**协议+域名+端口完全一致**时才部分生效；否则 allow-same-origin 被浏览器静默忽略，且不报错。
- 不同源时加这个组合，既得不到 localStorage/cookie 访问权，又暴露你误判了信任边界
- 即使同源 + 这两个 token，iframe 仍无法访问
window.parent或父页 DOM —— 这是 sandbox 强制的硬隔离，不可绕过 -
allow-same-origin不影响postMessage，通信仍需校验e.origin，不能依赖它跳过验证 - 生产环境嵌第三方内容时，永远不要加
allow-same-origin
按场景选最小权限组合，别堆砌
每个 allow- token 都扩大攻击面。配多了等于没配，尤其要避开高危组合。
立即学习“前端免费学习笔记（深入）”；
- 只展示带 JS 的广告或图表：
sandbox="allow-scripts allow-popups"（禁表单、禁存储、禁跳转） - 嵌入用户填写的问卷：
sandbox="allow-scripts allow-forms allow-popups"（表单提交走 CORS，不碰同源） - 加载同源可信子系统（如
https://yourapp.com/admin.html）：sandbox="allow-scripts allow-same-origin allow-forms"（确认 URL 真同源） - 绝对不要写：
sandbox="allow-scripts allow-same-origin allow-popups allow-forms allow-top-navigation"—— 这和没加sandbox几乎一样危险
真正容易被忽略的是：沙箱 iframe 的 localStorage 和 cookie 绑定到临时 null origin，刷新即丢，DevTools 的 Application 面板常显示误导信息；需要持久化状态，必须由父页托管，通过 postMessage 同步。
