空sandbox属性默认彻底锁死iframe所有主动行为：脚本不执行、表单失效、弹窗拦截、localStorage报SecurityError、origin强制为"null"；必须显式添加allow-scripts等权限token才能逐项放行，且每增一项均扩大攻击面。
加 sandbox 属性不是“开个安全开关”，而是默认锁死一切：脚本不执行、表单点不动、localStorage 访问直接抛 SecurityError，连 alert(1) 都不会弹。想让它干点事，必须手动逐项放行，且每加一个 allow-* token，攻击面就扩大一分。
空 sandbox 属性到底禁用了什么
写成 <iframe sandbox> 或 <iframe sandbox="">，等价于启用全部限制：
-
<script>标签、onload、内联onclick全部失效，控制台静默丢弃，不报错也不提示 - 表单点击提交无响应，
fetch()抛错，window.open()和target="_blank"被拦截 -
localStorage、sessionStorage、cookie读写直接触发SecurityError - 哪怕
src指向同域 HTML，origin也会被强制设为"null"，彻底失去同源身份
验证是否生效？打开开发者工具，执行 document.querySelector('iframe').sandbox —— 返回空 DOMTokenList [] 即确认全关。
allow-scripts 和 allow-same-origin 合用的真实效果与风险
这两个 token 经常被一起写，但它们不是功能叠加，而是存在强依赖和高风险：
立即学习“前端免费学习笔记（深入）”；
-
allow-same-origin单独出现无效——浏览器会直接忽略它，不报错也不警告 - 只有
allow-scripts allow-same-origin同时存在，且src确实与父页协议+域名+端口全一致时，localStorage、同源fetch()、cookie读写才可能恢复 - 即使满足条件，
window.parent和document依然不可访问——DOM 隔离是 sandbox 的硬边界 - 若
src="https://third-party.com/widget.html"却写了allow-same-origin，该 token 被静默丢弃，既没获得权限，又暴露了配置疏忽
生产环境嵌第三方内容时，永远不要加 allow-same-origin；仅限确认 src 是 https://yourdomain.com/xxx 这类内部可信页面。
按真实场景选最小权限组合
别堆砌 token，每个加上的值都意味着额外攻击面。按需选择最窄集合：
- 只展示带 JS 的广告或图表：
sandbox="allow-scripts allow-popups"（禁表单、禁存储、禁跳转父页） - 嵌入用户反馈表单（需提交）：
sandbox="allow-scripts allow-forms allow-popups"（表单提交走 CORS，不碰allow-same-origin） - 嵌入同源管理后台（需
localStorage+ 表单）：sandbox="allow-scripts allow-same-origin allow-forms"（必须确认src真是同源 URL） - 绝对禁止 iframe 跳转父页面：
allow-top-navigation和allow-top-navigation-by-user-activation都不要加；真要跳，由父页监听postMessage后主动执行
动态设置 iframe.sandbox = "allow-scripts" 无效；必须在 DOM 插入前就写死属性值。另外，srcdoc 内容同样受 sandbox 限制，哪怕没网络请求，内联事件也静默失效。
为什么加了 sandbox 就白屏或 JS 完全不运行
常见错误现象就是页面空白、交互无响应、控制台安静得反常。这不是 bug，而是 sandbox 的设计本意：
-
allow-scripts只解禁 JS 执行权，不恢复onclick、onload等内联事件绑定能力 - 外部
<script src>和内联<script>都受控，但事件处理器仍需显式绑定（如addEventListener） - 如果 iframe 加载的是第三方 widget，它可能依赖
window.parent或document.referrer，这些在 sandbox 下默认不可用 - 检查
referrerpolicy="no-referrer"是否被误配，导致某些资源因缺失 Referer 而拒绝加载
最容易被忽略的一点：sandbox 对 srcdoc 内容同样生效，哪怕你把 HTML 全写死在标签里，只要没加 allow-scripts，<script> 依然不执行——这点在调试本地 demo 时尤其容易踩坑。
