allow属性必须用分号分隔权限项，空格或逗号会彻底失效；每个权限后必须跟括号包裹的来源列表，如allow="geolocation 'self' https://maps.example.com; fullscreen ()"，且需与父页面Permissions-Policy响应头协同生效。
allow属性必须用分号分隔权限项，空格或逗号会彻底失效
浏览器（Chrome 100+、Firefox 100+）已完全废弃旧式空格/逗号分隔写法。allow="geolocation clipboard-read" 或 allow="camera, microphone" 都会被直接忽略，等同于没写——不是兼容性问题，是语法校验失败。
正确格式是：每个权限后必须跟括号包裹的来源列表，多个权限用分号;连接：
-
allow="camera; microphone"✅（同源默认允许） -
allow="geolocation 'self' https://maps.example.com; fullscreen ()"✅（显式指定来源 + 显式禁止全屏） -
allow="camera 'self'"❌（'self'缺括号，整个camera项被丢弃） -
allow="microphone; geolocation;"❌（末尾多一个分号，部分浏览器会截断后续项）
跨域 iframe 必须同时满足 allow 属性 + 父页面 Permissions-Policy 响应头
allow 只是子帧的“申请白名单”，父页面的 Permissions-Policy HTTP 响应头才是最终闸门。两者取交集，缺一不可。
- 若父页响应头为
Permissions-Policy: camera=()，哪怕allow="camera"写得再对也无效 - 跨域场景（如嵌入
https://widget.example.net）时，父页头必须明确列出该源：Permissions-Policy: camera=(self "https://widget.example.net") - 开发时用
localhost测试可行，但生产环境不能用*替代真实域名（camera=*被现代浏览器拒绝） - 检查方式：DevTools → Network → 找到 iframe 的
src请求 → Headers → Response Headers → 查看Permissions-Policy是否存在且格式合规
动态创建 iframe 时 allow 必须在设置 src 前挂载
用 document.createElement('iframe') 创建后，如果先赋值 iframe.src 再设 iframe.allow，权限将不生效——浏览器已在加载阶段完成策略解析。
立即学习“前端免费学习笔记（深入）”；
- ✅ 正确顺序：
const iframe = document.createElement('iframe'); iframe.allow = 'camera; microphone'; iframe.src = 'https://example.com/widget.html'; - ❌ 错误顺序：
iframe.src = '...'; iframe.allow = '...';→ 权限被静默忽略 - 注意：
srcdociframe 默认无源（about:srcdoc），此时allow也会被忽略，必须配合sandbox="allow-scripts"等显式授权
常见权限值拼写与组合陷阱
权限标识符大小写不敏感，但拼写必须精确。写错一个字母或连字符，整项即失效，且无控制台警告。
-
geolocation不是geo-location或location；clipboard-read不是clipboard_read -
camera单独写无法启用视频流，必须搭配microphone（allow="camera; microphone"） -
fullscreen不能写成full-screen或allow-fullscreen；payment仅对 Payment Request API 生效 -
display-capture需用户主动触发（如点击“共享屏幕”按钮），且仅在 HTTPS 下可用 - 移动端 Safari 对
camera支持较晚（iOS 16.4+），旧版本不认allow="camera"
