同域下需在iframe的load事件后用settimeout(() => {}, 0)延迟读取document.body.scrollheight或documentelement.scrollheight，才能获取稳定真实高度；跨域时必须依赖子页通过postmessage主动发送高度并严格校验origin。
iframe高度自适应：同域下怎么取到真实内容高度
直接读 iframe.contentDocument.body.scrollHeight 大概率不准——内容可能还没渲染完，CSS 重排没触发，或者子页用了 box-sizing: border-box 导致 offsetHeight 和 scrollHeight 不一致。
必须等 load 事件触发后，再用 setTimeout(() => {}, 0) 推到下一帧再取值，才能拿到稳定结果。如果子页有动态内容（比如 React 渲染、图表加载），还得监听子页发来的 resize 消息。
- 同域最小可行方案：监听
iframe的load事件 +setTimeout延迟读取 - 子页若支持配合，应在 DOM 变化后调用
window.parent.postMessage({ type: 'height', value: height }, '*') - 父页接收时务必校验
e.origin，别用'*'直接信任所有来源 - 不要依赖
scrolling="no"或height="100%"—— 这些对自适应无效，反而可能掩盖滚动条问题
iframe高度自适应：跨域时为什么父页完全读不到子页高度
因为同源策略限制，iframe.contentDocument 在跨域时返回 null，任何试图访问 body 或 documentElement 的操作都会报错或静默失败。这不是 bug，是浏览器强制安全机制。
唯一可靠路径是子页主动通知。但注意：子页发消息不等于父页能无条件接收，通信必须双向可控。
使用 PptxGenJS 和 Python 解析，将结构化的 HTML/CSS 幻灯片内容转换为原生、可编辑的 PowerPoint（.pptx）演示文稿。
- 子页需在
DOMContentLoaded、load、以及每次内容变化后（如按钮点击展开区域）都调用postMessage - 父页用
window.addEventListener('message', handler)接收，并严格比对e.origin是否在白名单内（例如https://widget.example.com） - 避免用
'*'作为 target origin，否则恶意页面可伪造高度撑爆布局 - 子页若无法修改（如嵌第三方广告），则高度自适应不可行，只能设固定高 + 内部滚动
sandbox 属性为什么加了反而表单点不动、脚本不执行
因为 sandbox 默认就是“全禁”模式：<iframe sandbox></iframe> 等价于 sandbox=""，此时脚本、表单、弹窗、存储、自动播放全部被拦截，且控制台不报错、行为静默失败。
这不是配置失效，而是你没显式放行。每个功能都要手动加 token，不存在“默认开启某几项”的例外。
- 要让 JS 运行，必须加
allow-scripts - 要让
<form></form>提交生效，必须加allow-forms - 加了
allow-scripts后，fetch()、localStorage仍不可用——除非还加了allow-same-origin（仅同源时有效） - 误写成
sandbox="allow-scripts allow-same-origin"加载第三方域名时，allow-same-origin会被浏览器忽略，但你已暴露了对来源判断的疏忽
生产环境 iframe sandbox 配置最容易踩的三个坑
最危险的不是“没加 sandbox”，而是“加错 sandbox”。很多线上事故都源于 token 组合越权或兼容性盲区。
-
allow-scripts allow-same-origin同时出现 → 若 src 实际是第三方域名，该组合无效；若 src 是同域但协议/端口不一致（比如 http vs https），同样无效；真同源时它又允许脚本读写自身 localStorage，但开发者常误以为也能访问父页 DOM（实际不能） -
allow-top-navigation被用于跳转整个页面 → 极易被钓鱼利用，应改用allow-top-navigation-by-user-activation，且只响应用户点击 - IE 10 及以下、Opera 全系不支持 sandbox → 如果业务仍需兼容这些旧环境，必须有降级逻辑（比如服务端判断 UA 后不渲染 iframe，或前端 fallback 到新窗口打开）
真正难的不是写对那几个 token，而是每次加之前都得问一句：这个 iframe 里跑的是谁的代码？它需要什么能力？少了会坏功能，多了会开后门。sandbox 不是开关，是权限刻度尺。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
