<meta>标签不能限制嵌入第三方iframe的权限，因其对iframe加载行为和运行时权限基本无效：X-Frame-Options不支持meta形式；Permissions-Policy的meta仅作用于顶层文档；CSP的frame-src只控制可嵌入来源而非子页面能力。
为什么 meta 标签不适用于限制第三方 iframe 权限
• X-Frame-Options 已全面废弃：Chrome 120+、Firefox 125+、Safari 17+ 全部不支持该 meta 声明；它原本就只作为 HTTP 响应头生效，写在 `` 里完全被忽略。
• Permissions-Policy 的 meta 形式仅作用于顶层文档：它能约束当前页面自身调用摄像头、定位等 API，但无法向下传递或约束 iframe 子页面的行为。若你想限制嵌入的 `https://widget.com` 能否访问麦克风，必须由你的父页面通过 HTTP 响应头发送 `Permissions-Policy: microphone=()`，且 iframe 标签上还要显式写 `allow="microphone"`（或不写，即默认禁用）。
• Content-Security-Policy 的 meta 标签虽可声明 `frame-src`，但浏览器支持不稳定，且不覆盖响应头策略；更重要的是，`frame-src` 控制的是“谁可以被你嵌入”，而不是“你嵌入后它能做什么”——它管的是来源白名单，不是运行时能力沙箱。
真正有效的 iframe 权限控制方式
要安全嵌入第三方 iframe，必须组合使用以下三项，缺一不可：
立即学习“前端免费学习笔记（深入）”；
- sandbox 属性：直接加在 `
-
allow 属性（配合 Permissions-Policy 响应头）：用于启用敏感 API，例如：
<iframe allow="geolocation;camera" src="https://meet.example.com"></iframe>
这里的 `allow` 值必须是空格分隔（不是逗号），且父页面响应头需包含对应策略，如 `Permissions-Policy: geolocation=(self), camera=()`。 -
服务端 Referrer-Policy 响应头：控制 iframe 主文档加载时是否泄露来源 URL。`` 对 iframe 加载无效，必须由后端配置，例如：
Referrer-Policy: strict-origin-when-cross-origin
额外建议：纵深防御不能只靠 HTML
• 若你完全控制第三方内容，优先用 `srcdoc` 替代 `src`，避免远程加载风险；
• 对关键业务 iframe，配合 CSP 的 `frame-ancestors` 响应头防止被他人嵌套；
• 避免同时开启 `allow-scripts` 和 `allow-same-origin` —— 同源时这等于放弃同源策略，让恶意脚本可读写父页面 DOM。
