微信内置浏览器主动拦截 iframe 加载外部页面，包括授权页、公众号文章等，即使配置正确也无法绕过；唯一合法方案是使用 location.href 全页跳转，并配合 history.pushState 优化返回体验。
微信内置浏览器直接拦截 iframe 加载大多数外部页面，不是配置或写法问题，而是微信主动限制——它不允许第三方页面在 iframe 中运行授权页、公众号文章、H5 活动页等关键内容。
微信浏览器对 iframe 的硬性拦截规则
微信客户端（包括微信内置浏览器和 QQ 浏览器微信模式）会检测 iframe 的 src 是否指向微信体系内资源（如 mp.weixin.qq.com、open.weixin.qq.com），一旦发现是跨域且含敏感路径（如 /s?、/oauth、/authorize），就会静默阻止加载，控制台不报错、network 里看不到请求、iframe 区域空白。
- 即使加了
sandbox="allow-scripts allow-same-origin allow-popups"也无效 -
X-Frame-Options或Content-Security-Policy: frame-ancestors是服务端响应头，但微信连发请求都不发，服务端根本没机会返回这些头 - 本地起
cors-anywhere或用data:text/html注入 HTML，在微信内打开会直接崩溃或白屏（2017 年起已确认）
能绕过拦截的唯一合法路径：用 location.href 跳转
微信只禁止嵌套，不禁止跳转。所有需要在微信中展示的内容，必须让当前 tab 全页跳转，不能藏在 iframe 里。
- 把原
iframe src="https://xxx.com/auth"改成：location.href = "https://xxx.com/auth" - 如果要保留“返回上一页”体验，可在跳转前用
history.pushState记录一个中间状态，再用popstate监听回退并跳转回主页面 - 授权类流程（如静默授权、snsapi_base）必须走完整跳转，否则微信不会触发 OAuth 流程
哪些情况看似“能用”，其实不可靠
以下方案在部分安卓机型或旧版微信可能短暂生效，但 2026 年已普遍失效，上线前务必用真机+最新版微信验证：
立即学习“前端免费学习笔记（深入）”；
- 用
data:text/html;charset=utf-8,拼接 HTML 字符串并赋给iframe.src—— 微信会拒绝解析，或导致 WebView 崩溃 - 把公众号文章 URL 丢进
cors-anywhere代理再注入 —— 微信会识别为非官方来源，直接拦截整个请求链 - 尝试用
webview标签（非标准 HTML）或WKWebView配置 —— 纯前端无法控制，仅 App 内可配，且仍受微信 SDK 策略约束
真正卡点在于：微信不给你执行机会。任何依赖“先加载再处理”的方案，在微信环境里都比不过一行 location.href 来得确定。别在 iframe 上调试兼容性，直接切跳转逻辑。
