allow属性配置错误会导致浏览器静默忽略，权限请求全部失败；必须用分号分隔、正确拼写权限名、匹配Permissions-Policy响应头，且动态创建iframe时需先设allow再设src。
配错 allow 属性，浏览器直接当没写——不是报错，是静默忽略，所有权限请求都失败。
allow 值必须用分号分隔，空格或逗号会彻底失效
Chrome 100+、Firefox 100+ 已废弃旧写法，allow="geolocation camera" 或 allow="geolocation,camera" 都会被当成无效值，等同于没加 allow。
- 错误示例：
allow="camera; geolocation 'self'"——'self'缺少括号，整个geolocation项被丢弃 - 正确写法：
allow="camera; geolocation 'self' https://maps.example.com; fullscreen ()" -
fullscreen ()表示显式禁止，比不写更可靠；clipboard-read 'self'中的单引号不能省略
跨域 iframe 必须同时满足 allow + Permissions-Policy 响应头
allow 是子帧的“申请白名单”，父页面的 Permissions-Policy HTTP 响应头才是最终闸门。两者取交集，缺一不可。
- 若父页响应头为
Permissions-Policy: camera=()，哪怕allow="camera"写得再对也无效 - 跨域场景（如嵌入
https://widget.example.net）时，父页头必须明确列出该源：Permissions-Policy: camera=(self "https://widget.example.net") - 生产环境不能用
*替代真实域名：camera=*被现代浏览器拒绝 - 检查方式：DevTools → Network → 找到 iframe 的
src请求 → Headers → Response Headers → 看Permissions-Policy是否存在且格式合规
常见权限拼写与组合陷阱
权限标识符大小写不敏感，但拼写必须精确。错一个字母或连字符，整项即失效，且无控制台警告。
立即学习“前端免费学习笔记（深入）”；
-
geolocation不是geo-location或location；clipboard-read不是clipboard_read -
camera单独写无法启用视频流，必须搭配microphone：allow="camera; microphone" -
fullscreen不能写成full-screen或allow-fullscreen；payment仅对 Payment Request API 生效 -
display-capture需用户主动触发（如点击“共享屏幕”按钮），且仅在 HTTPS 下可用
动态创建 iframe 时 allow 必须在设置 src 前挂载
用 document.createElement('iframe') 创建后，如果先赋值 iframe.src 再设 iframe.allow，权限将不生效——浏览器已在加载阶段完成策略解析。
- 正确顺序：
const iframe = document.createElement('iframe'); iframe.allow = 'geolocation; camera'; iframe.src = 'https://trusted.example.com/widget.html'; - 若用
srcdoc，则allow仍需提前设置，且srcdociframe 默认无源（about:srcdoc），此时还必须配sandbox="allow-scripts allow-same-origin"才可能启用 API - 移动端 Safari 对
camera支持较弱，部分 iOS 版本要求用户手动在系统设置中为网站开启相机权限，iframe无法绕过此限制
最容易被忽略的是：权限链断裂往往发生在最底层——allow 拼写对了，但父页响应头没开、协议不是 HTTPS、或者 iframe 是动态创建却晚设了属性。这些地方不排查，光调 getUserMedia 或 requestFullscreen 永远只会得到 NotAllowedError。
