HTML中sandbox属性的allow-scripts等权限控制-html教程-PHP中文网

allow-scripts仅解禁外部/内嵌script标签和src引入的JS，不恢复onclick等内联事件处理器及javascript:void(0)链接，故脚本仍不执行；需改用addEventListener绑定或srcdoc内联script。

html中sandbox属性的allow-scripts等权限控制

allow-scripts 为什么开了脚本还是不执行

因为 allow-scripts 只解禁“外部/内嵌 <script></script> 标签”和 src 引入的 JS，但**不恢复内联事件处理器**（如 onclick="alert(1)"、onload）和 javascript:void(0) 链接。浏览器静默忽略它们，控制台也不报错。

常见现象：按钮点不动、图片加载完没回调、console.log 完全没输出——不是 JS 写错了，是 handler 被沙箱直接掐断了。

正确做法：把逻辑移到外部 JS 或 srcdoc 的 <script></script> 块里，用 addEventListener 绑定
避免写，改用 preventDefault() + 真实事件监听
若必须兼容旧 HTML（比如第三方无法改源码），可加 allow-popups 尝试绕过部分限制，但不可靠，不推荐

sandbox="" 和 sandbox="allow-scripts" 的实际区别

sandbox=""（空值）等价于最严模式：禁止脚本、表单、弹窗、插件、localStorage、document.cookie、top.location 跳转……所有行为静默失败，页面大概率白屏或功能瘫痪。

sandbox="allow-scripts" 仅解禁脚本执行，其他仍锁死。关键影响包括：

iframe 源强制降为 null，哪怕 src 是同域 URL，也无法读取父页 DOM 或 cookie
localStorage、sessionStorage 是独立空空间，写入后刷新即丢，且无配额错误提示
fetch() 和 XMLHttpRequest 可发起，但跨域请求仍受 CORS/CORP 头约束，同源请求也拿不到响应头里的敏感字段
不能用 document.write()，会抛 DOMException

allow-same-origin 能不能和 allow-scripts 一起用

能，但**极其危险，且多数情况无效**。浏览器只在 iframe 的 src URL 与父页协议、域名、端口完全一致时，才真正启用 allow-same-origin；否则该 token 被直接忽略，控制台可能报 warning，但不会 fallback。

HTML Text Extract

从HTML页面（URL、文件或标准输入）中提取主体内容文本，去除导航、页脚、广告和模板文本。可直接传递给readability_check或其他文本工具。

下载

即使同源生效，组合后也只是让 iframe 自身能读写自己的 localStorage、发同源 fetch、访问自身 document.cookie——它**仍然不能访问父页面的 window 或 document**，sandbox 的 DOM 隔离是强制的。

误以为加了就能跨 iframe 通信？错。仍需 postMessage，且父页必须监听并校验 event.origin
广告、用户提交内容、第三方 widget 等不可信来源，绝对不要加 allow-same-origin
Chrome/Edge 支持 allow-storage-access-by-user-activation，但需用户点击触发，且仅限存储 API，不解决 DOM 访问问题