嵌套 iframe 的 sandbox 权限不继承，每层必须显式配置 sandbox 和 allow 属性；跨域全屏需孙 iframe 自身含 allow="fullscreen" 和 allowfullscreen；Permissions-Policy 响应头可覆盖 HTML 属性；多级 postMessage 需逐层校验 origin 和 contentWindow 有效性。
iframe 嵌套本身不触发权限冲突，真正出问题的是多层 sandbox、allow 和响应头策略叠加后，子 iframe 的能力被意外剥夺——比如父 iframe 加了 sandbox="allow-scripts"，但孙 iframe 的 src 是跨域的，又没单独配 allow="fullscreen"，结果全屏按钮点不动，连错误都不报。
嵌套 iframe 的 sandbox 权限不会继承，必须每层独立配置
父 iframe 写了 sandbox="allow-scripts"，不代表它的子 iframe 也能跑 JS。浏览器对每个 iframe 都做独立沙箱初始化，孙 iframe 的 sandbox 属性如果为空或缺失，它就完全锁死：脚本不执行、表单不提交、console.log 静默失效。
- 必须在每一层 iframe 标签上显式写明
sandbox属性值，例如：<iframe src="grandchild.html" sandbox="allow-scripts allow-popups"></iframe> - 动态通过 JS 设置
iframe.sandbox = "allow-scripts"无效，属性必须在 DOM 插入前就存在 - 检查是否真生效：在 DevTools Elements 面板右键 iframe → “Inspect iframe” → 右侧 “Permissions” 标签页，确认对应能力显示为 Allowed
跨域嵌套时 allow="fullscreen" 必须出现在目标 iframe 自身标签上
父页调用 iframe.contentWindow.document.documentElement.requestFullscreen() 永远失败；子 iframe 转发消息让孙 iframe 全屏也无效——全屏权限只作用于声明它的那个 iframe 元素，且只能由其内部用户手势触发。
- 孙 iframe 的 HTML 标签必须带
allow="fullscreen"（拼写必须是"fullscreen"，不是"full-screen"）和allowfullscreen（布尔属性，不带值） - 如果父页面响应头含
Permissions-Policy: fullscreen 'none'，孙 iframe 的 HTML 属性会被直接覆盖，此时删响应头比改前端更有效 - 验证方式：在孙 iframe 控制台执行
document.fullscreenEnabled，返回true才算通过
多级 postMessage 中转时，origin 校验和 contentWindow 有效性容易断链
祖页发消息给父 iframe，父 iframe 转发给孙 iframe，中间只要一层漏了 event.origin 校验或没检查 iframe.contentWindow 是否为 null，消息就静默丢失，控制台还不报错。
立即学习“前端免费学习笔记（深入）”；
- 每层中转都必须校验来源：
if (event.origin !== 'https://expected-origin.com') return; - 转发前务必检查：
if (grandchildIframe.contentWindow) { grandchildIframe.contentWindow.postMessage(...); } - targetOrigin 不能复用上层的
event.origin，必须写死为孙 iframe 实际域名，例如'https://widget.example.com' - 避免在
event.data中透传原始 token 或用户 ID，改用短期票据（如tempTicket）降低泄露风险
嵌套越深，权限链越脆弱；最常被忽略的是“每一层都得自己配、自己验、自己转”，没有自动继承，也没有隐式信任。别指望父 iframe 的配置能兜底，浏览器只认当前 iframe 标签上写的那几行字。
