正确配置iframe沙箱权限需显式声明allow属性，最小安全组合为sandbox="allow-scripts allow-popups"；全屏需同时写allowfullscreen和allow="fullscreen"；禁用allow-same-origin和allow-top-navigation以防高危风险。
allow属性必须显式声明，空值或缺失等于彻底禁用
只写 sandbox 或 sandbox="" 不会启用任何权限，浏览器直接拦截整个 iframe 内容，Network 面板显示 net::ERR_BLOCKED_BY_RESPONSE。这不是加载失败，是 HTML 解析阶段就被拒绝。
正确写法必须带具体权限字符串，至少包含 allow-scripts 才能让 JS 运行起来：
<iframe src="https://ad.example.com" sandbox="allow-scripts"></iframe>
-
allow-scripts是底线：没有它，所有外链脚本、<script src>都不会执行 -
allow-popups必须配对使用：广告点击跳转落地页需要它，否则window.open()被静默忽略 -
allow-same-origin绝对禁用：一旦开启，子页面可读取父页 cookie、localStorage，等同于放弃隔离 -
allow-top-navigation绝对禁用：允许子页面执行top.location = 'https://phishing.site'
跨域 iframe 全屏必须双写 allowfullscreen 和 allow="fullscreen"
Chrome 120+ 已将 allowfullscreen 降级为仅对同源 iframe 有效。跨域时只写它，requestFullscreen() 会返回 pending Promise 或直接 reject，且控制台可能不报错。
真正起作用的配置是两者共存：
Article To Html
下载
文章转信息图。将文章/笔记转化为手机可读的 HTML 信息图，自动匹配视觉风格。触发场景：文章转图、笔记转图、信息图、转小红书图、做张图、可视化这篇文章、文生图。
立即学习“前端免费学习笔记（深入）”；
<iframe src="https://video.example.com" allowfullscreen allow="fullscreen"></iframe>
-
allowfullscreen是无值布尔属性，兼容旧浏览器（IE10+/Firefox10+） -
allow="fullscreen"的值必须是字符串"fullscreen"，不能拼错成"full-screen"或"allow-fullscreen" - 如果父页响应头含
Permissions-Policy: fullscreen 'none'，HTML 层面怎么写都没用 - 全屏请求必须由 iframe 内部用户手势触发（比如点击按钮），父页 JS 主动调用无效
验证权限是否真正生效，别只看 HTML 属性
写了 allow="fullscreen" 或 sandbox="allow-scripts" 不代表浏览器已授予权限。要查实际策略：
- 在 Chrome DevTools Elements 面板中右键 iframe → “Inspect iframe” → 右侧 “Permissions” 标签页，确认
fullscreen或scripts显示为Allowed - 同源时可在 Console 执行：
document.querySelector('iframe').contentWindow?.document?.fullscreenEnabled，返回true才算就绪 - 跨域时
contentWindow被屏蔽，只能靠监听fullscreenchange事件 + 检查document.fullscreenElement是否为该 iframe 的子元素来间接判断 - 沙箱权限验证：执行
document.querySelector('iframe').sandbox，返回空DOMTokenList []表示所有权限锁死
第三方广告 iframe 的最小安全组合已固定
广告不需要表单提交、不需要访问父页数据、不需要修改顶级导航。生产环境唯一推荐的起点是：
<iframe src="https://ad.example.com" sandbox="allow-scripts allow-popups"></iframe>
- 加
allow-autoplay仅当广告含视频且需自动播放（注意部分浏览器仍强制要求用户手势） - 不加
allow-forms：广告从不提交表单，加了反而扩大 XSS 攻击面 - 不加
allow-same-origin：这是最常被误开的高危项，一开即破防 - 若广告 SDK 使用内联事件（如
onclick="track()"），allow-scripts不够 —— 它只放行外链脚本，内联行为仍被禁，必须改用addEventListener
权限配置不是越宽越好，而是刚好够用。多一个 allow- 就多一分风险，少一个就可能让广告白屏或功能失效。
