安全隔离第三方广告脚本需采用 iframe sandbox + CSP + SRI 三重防护：严格限制 sandbox 权限、强制 SRI 校验资源完整性、服务端配置 CSP 响应头，并优先使用 srcdoc 内联静态广告。
安全隔离第三方广告脚本，核心不是“让它跑”，而是“只让它做最少的事”——用 iframe sandbox + CSP + SRI 三重锁死执行环境，同时切断其与父页的任何隐式连接。
必须启用 sandbox 并最小化授权
广告 iframe 不能写成 <iframe src="https://ad-network.com/ads.js"> 这种裸调用。正确做法是：
- 显式声明
sandbox="allow-scripts allow-popups"—— 只开脚本和弹窗（广告常见需求），其他如allow-same-origin、allow-forms一律不加 - 绝对避免
sandbox="allow-scripts allow-same-origin"：广告域名必然不同源，该组合不仅无效，还会暴露配置错误，且可能触发浏览器拒绝加载 - 若广告需上报点击或曝光，用
referrerpolicy="no-referrer"阻止泄露当前页面 URL
强制校验资源完整性（SRI）
广告 JS/CSS 往往通过 CDN 加载，一旦 CDN 被劫持或缓存污染，脚本就变成后门。必须：
- 所有
<script src="https://cdn.adnetwork.com/ads.min.js">和<link rel="stylesheet" href="...">标签，都带integrity和crossorigin="anonymous" - 哈希值从广告平台官方文档或 jsDelivr/npm 页面复制，不手算、不复用旧版本
- 小版本升级（如 ads.min.js?v=2.1.8 → v=2.1.9）必须同步更新 integrity 值，否则浏览器直接拒载
服务端配置 CSP 响应头，补最后一道防线
即使 iframe 自身被绕过，父页 CSP 也能拦住广告脚本试图注入的内联行为或跨域请求：
立即学习“前端免费学习笔记（深入）”；
- 在 HTTP 响应头中设置
Content-Security-Policy: default-src 'none'; script-src 'self' https://cdn.adnetwork.com; connect-src https://track.adnetwork.com; frame-src https://adnetwork.com; -
script-src不写'unsafe-inline'，广告里任何onclick、javascript:void(0)或内联<script>全部静默拦截 - 禁用
object-src和base-uri，防止广告通过<object>或动态<base>注入任意内容
替代方案：优先用 srcdoc 或静态卡片
对非交互型广告（如品牌 banner、活动横幅），直接放弃外部加载：
- 用
srcdoc内联渲染纯 HTML/CSS：<iframe srcdoc="<div style='color:#333'>限时优惠</div>" sandbox="allow-scripts"></iframe> - 搭配
loading="lazy"延迟非首屏广告加载，减少初始攻击面 - 服务端返回
X-Frame-Options: DENY或frame-ancestors 'none'，防止你的广告 iframe 被别人嵌入作恶意用途
