直接写 sandbox 或 sandbox="" 就等于全锁死：脚本不执行、表单点不动、弹窗拦截、localStorage 读写抛 SecurityError，Network 显示 net::ERR_BLOCKED_BY_RESPONSE；这是浏览器在 HTML 解析阶段拒收响应体导致 DOM 不构建，而非加载失败。
直接写 sandbox 或 sandbox="" 就等于全锁死——脚本不执行、表单点不动、弹窗拦截、localStorage 读写抛 SecurityError，Network 面板显示 net::ERR_BLOCKED_BY_RESPONSE。这不是配置“没生效”，是浏览器在 HTML 解析阶段就拒收整个响应体，DOM 根本不构建。
为什么加了 sandbox 却白屏或 JS 完全不运行
空值 sandbox 触发的是最底层拦截：HTTP 响应体被丢弃，HTML 解析跳过，iframe 空白且控制台静默。这不是加载失败，而是权限未开启导致解析流程终止。
- 验证方式：在控制台执行
document.querySelector('iframe').sandbox，返回空DOMTokenList []就说明所有权限锁死 -
allow-scripts是底线权限——没有它，<script src="xxx">不加载，alert(1)不弹，fetch()直接报错 - 内联事件（如
onclick=""、javascript:void(0)）即使加了allow-scripts也仍被屏蔽，必须改用addEventListener - 动态设置
iframe.sandbox = "allow-scripts"在 Chrome/Firefox 中无效；沙箱策略只在 iframe 插入 DOM 前生效
sandbox="allow-scripts allow-same-origin" 到底有没有用
这个组合常被误用，但它不是功能叠加，而是强依赖+高风险：只有当 src 与父页协议+域名+端口完全一致，且同时声明 allow-scripts 时，allow-same-origin 才可能部分生效。
-
allow-same-origin单独存在会被浏览器静默忽略，不报错也不提示 - 不同源时加该 token，既得不到
localStorage或 cookie 访问权，又暴露你对信任边界的误判 - 即使同源 + 这两个 token，
window.parent和document依然不可访问——DOM 隔离是 sandbox 的硬边界 - 生产环境嵌第三方内容时，永远不要加
allow-same-origin
按真实场景配最小权限组合，别堆砌 allow-*
每个加上的 allow-* 都扩大攻击面。抄模板不如看需求，以下为常见场景的实操建议：
立即学习“前端免费学习笔记（深入）”；
- 只展示带 JS 的广告或图表：
sandbox="allow-scripts allow-popups"（禁表单、禁存储、禁跳转父页） - 嵌入用户填写的问卷（需提交）：
sandbox="allow-scripts allow-forms allow-popups"（表单目标走 CORS，不碰allow-same-origin） - 加载同源可信子系统（如
https://yourapp.com/admin.html）：sandbox="allow-scripts allow-same-origin allow-forms"（必须确认src真实同源） - 绝对禁止：
allow-top-navigation（防钓鱼跳转）、allow-top-navigation-by-user-activation（Chrome 已弃用）、allow-downloads（无明确业务需求时禁用）
多层 iframe 嵌套时 sandbox 不继承，每层必须独立声明
父 iframe 加了 sandbox="allow-scripts"，子 iframe 仍默认全锁死——浏览器不传递沙箱策略，每层都得自己配。
- 子 iframe 若没写
sandbox，按标准同源策略运行，可能被 CSP 拦截；若写了但为空值（sandbox=""），则彻底锁死，连 HTML 解析都跳过 - 嵌套层级间通信唯一合规方式是逐跳
postMessage，且每跳都必须校验e.origin和e.source - 若某层是
srcdoc或about:blank初始化，其e.origin为"null"，需显式比对e.origin === "null"，不能用==或模糊匹配 - Chrome 117+ 对缺失
allow-scripts但含onload的 iframe 会自动补权，但 Safari 和旧 WebView 不会——行为不一致，不能依赖
最容易被忽略的一点：sandbox 的权限控制发生在资源加载前，一旦 iframe 开始解析 HTML，再改 sandbox 属性毫无意义。所有配置必须在插入 DOM 前以字符串形式写死，服务端渲染时直接输出，前端动态插入时用 innerHTML 或字符串拼接，而不是先创建空元素再赋值。
