iframe自身不支持域名白名单机制；限制可加载域名需依赖服务端Referer校验、CSP的frame-ancestors响应头或子页postMessage运行时校验，sandbox仅控制加载后行为。
iframe 本身不支持域名白名单机制
HTML 标准里没有 iframe 的“域名白名单”属性——你不能写 sandbox="allow-src https://trusted.com" 或类似语法。所谓“限制可加载域名”，iframe 自身不提供该能力；它只管“加载后怎么运行”，不管“能不能加载”。真正拦截非法域名的，是服务端或浏览器级策略。
用 Content-Security-Policy 的 frame-ancestors 控制谁可以嵌你
如果你是被嵌入方（即 src 指向的那个页面），想禁止被任意域名 iframe 嵌入，必须靠响应头：
Content-Security-Policy: frame-ancestors 'self' https://allowed.com;
这个 header 由你的服务器返回，浏览器会据此拒绝非白名单来源的嵌入请求。注意：frame-ancestors 不支持通配符 * 和父域泛匹配（如 https://*.example.com），必须写死完整协议+域名+端口（如 https://app.example.com:8080）。
常见错误：
立即学习“前端免费学习笔记（深入）”；
-
frame-ancestors 'self'只允许同源嵌入，但父页若用http://加载你这个https://页面，仍会失败 - 在
<meta>标签里写 CSP 对frame-ancestors无效，必须用 HTTP 响应头 - Nginx 配置示例：
add_header Content-Security-Policy "frame-ancestors 'self' https://admin.example.com;";
用 referrerPolicy + postMessage 配合做运行时校验
如果你是父页，想“动态判断子页是否来自可信域名”，不能靠 iframe 属性，而要结合两步：
- 加载前：用
referrerpolicy="strict-origin-when-cross-origin"降低泄露风险，但不阻止加载 - 加载后：监听
load事件，读取iframe.contentWindow.location.origin—— 注意跨域时该值为"null"，无法直接读；所以更可靠的是让子页主动发postMessage，并带签名 origin - 子页发消息时必须指定
targetOrigin（如window.parent.postMessage(data, "https://parent.example.com")），父页收消息时必须校验event.origin === "https://child.example.com"，否则丢弃
这本质是应用层校验，不是隔离机制，不能替代 CSP 或 sandbox。
真正能“拦在加载前”的只有服务端 Referer 或 CORS 配置
浏览器不会替你检查 iframe src 是否在白名单里；但你可以让目标域名的服务端拒绝非白名单来源的请求：
- 后端读取请求头
Referer，若不在白名单内则返回 403 - 配合 CORS：子页响应头加
Access-Control-Allow-Origin: https://parent.example.com，虽不影响 iframe 渲染，但能阻断其 JS 调用父页接口（如 fetch） - 注意：Referer 可被客户端伪造或缺失（如从书签打开），不可作为唯一安全依据
最关键的遗漏点：很多人以为加了 sandbox 就能控制加载域名，其实 sandbox 完全不干预网络请求阶段——它只在 HTML 解析和脚本执行阶段起作用。哪怕 src 指向恶意域名，只要没违反 CSP 或服务端拦截，它照样加载，只是后续被 sandbox 锁死而已。
