allow-modals 是用于允许 iframe 内触发 window.alert()、confirm()、prompt() 等原生模态对话框的 sandbox 属性，解决默认情况下这些调用被静默拦截、无提示且返回 undefined 的问题；它与 allow-scripts 独立，需显式声明，且仅对原生模态有效、不支持 showModalDialog()、不可动态设置、生产环境应慎用。
allow-modals 是什么，它解决什么问题
allow-modals 控制 iframe 内是否能触发原生模态对话框（window.alert()、window.confirm()、window.prompt()）。不加这个 token 时，哪怕脚本执行正常，调用这些方法也会被静默拦截——用户看不到弹窗，控制台也不报错，只返回 undefined 或直接跳过。
为什么加了 allow-scripts 还是弹不出 alert
因为 allow-scripts 只解禁脚本加载和执行，不包含模态对话框权限。这是独立管控项，必须显式声明。
-
allow-scripts单独存在 →alert(1)不弹、confirm()返回undefined、prompt()同样失效 -
allow-scripts allow-modals→ 三类原生对话框可正常触发，但依然受用户手势限制（如非用户点击上下文调用仍可能被拦截） - 即使加了
allow-modals，window.open()仍需allow-popups，二者不互通
实际使用要注意的硬限制
allow-modals 在多数现代浏览器中支持良好（Chrome 60+、Firefox 73+、Safari 15.4+），但它有明确的使用边界：
- 仅对原生模态有效：
alert/confirm/prompt；自定义 modal（如 div + overlay）不受影响，也不需要该权限 - 不恢复
showModalDialog()（已废弃，且 sandbox 下始终不可用） - 与
allow-same-origin无关：同源与否不影响该 token 生效，只要属性存在即放行 - 动态设置无效：
iframe.sandbox = "allow-scripts allow-modals"在插入 DOM 后赋值不生效，必须写死在 HTML 属性里
要不要加？生产环境慎用
真实场景中极少需要 allow-modals，原因很直接：
立即学习“前端免费学习笔记（深入）”；
- 第三方内容用
alert多属调试残留或恶意诱导，不应放行 - 可信同源子页若真依赖原生对话框，应优先改用
postMessage通知父页统一弹窗，避免 iframe 独立控制 UI - 实测发现：开启
allow-modals后，部分广告 SDK 会滥用confirm()模拟“退出确认”，干扰用户操作 - 如果只是想让 JS 报错或 log 调试信息，用
console.log()即可，它不受 sandbox 限制（除非整个 script 被禁）
真正需要它的场景极窄：比如嵌入一个你完全可控、且明确要求保留原生提示逻辑的内部工具页，并确认用户不会被误导。其他情况，建议删掉这个 token。
