allow-popups 不直接启用 window.open()，仅赋予弹窗能力；真正弹出需同时配置 allow-popups-to-escape-sandbox，且调用必须由用户手势触发，否则会被浏览器拦截或静默失败。
allow-popups 本身不直接控制 window.open()
很多人以为加了 allow-popups 就能让 iframe 里调用 window.open() 成功，但实际不是这样。它只允许 iframe **创建弹出窗口的“能力”**，是否真能打开，还取决于：
• 父页面是否在顶层上下文（比如没被嵌套在另一个 sandboxed iframe 里）
• iframe 是否设置了 allow-popups-to-escape-sandbox（否则新窗口仍受沙箱限制）
• 浏览器是否拦截非用户触发的弹窗（这是默认行为，跟 sandbox 无关）
必须配合 allow-popups-to-escape-sandbox 才能真正弹出新页面
仅写 sandbox="allow-popups" 时，window.open() 调用会静默失败（控制台无报错，但窗口不出现）。要让新窗口脱离沙箱、拥有完整权限，必须显式加上 allow-popups-to-escape-sandbox：
<iframe src="popup-demo.html" sandbox="allow-scripts allow-popups allow-popups-to-escape-sandbox"></iframe>
注意：allow-popups-to-escape-sandbox 是独立权限项，不能省略；且它隐含要求 allow-popups 同时存在。
常见错误：弹窗被拦截或新开页仍是沙箱环境
以下情况会导致预期外行为：
-
window.open()在 iframe 的定时器或异步回调中调用 → 浏览器视为非用户激活，直接拦截（和 sandbox 无关，是浏览器策略） - 漏掉
allow-scripts→ 即使写了allow-popups，JS 根本执行不了，window.open()不会运行 - 父页面也用了 sandbox，且没开放
allow-popups→ 子 iframe 的弹窗请求会被父级沙箱阻断 - 用
target="_blank"点击链接 → 这不走window.open()，不受allow-popups控制，而是由allow-top-navigation-by-user-activation或类似机制管（但该值目前支持度低，不建议依赖）
真实可用的最小权限组合
如果目标只是让用户点击后安全地打开一个新页面（比如帮助文档、外部服务），推荐这个最小集：
<iframe src="trusted-widget.html" sandbox="allow-scripts allow-popups allow-popups-to-escape-sandbox"></iframe>
同时确保 iframe 内部 JS 的 window.open() 调用绑定在明确的用户操作上，例如：
button.addEventListener('click', () => {<br> window.open('https://example.com', '_blank');<br>});
别忘了：只要开了 allow-popups-to-escape-sandbox，那个新窗口就完全脱离原沙箱约束——它能访问 localStorage、执行任意脚本、甚至导航 top 窗口。这点容易被忽略，但恰恰是最大风险点。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
