空sandbox值导致iframe白屏，因浏览器拒绝解析任何src响应体，连html解析都跳过，network显示net::err_blocked_by_response；必须显式声明如allow-scripts等token才能启动加载。
为什么只写 sandbox 或 sandbox="" 会导致 iframe 白屏？
这不是配置没生效，而是浏览器直接拒绝解析响应体。空值或无值的 sandbox 触发的是最底层的内容拦截策略：HTTP 响应连 DOM 构建流程都进不去，Network 面板会显示 net::ERR_BLOCKED_BY_RESPONSE。现象是 iframe 完全空白，控制台无脚本错误，连 HTML 标签都没被解析。
真正起作用的必须是带明确权限 token 的字符串，比如 sandbox="allow-scripts" —— 至少得告诉浏览器“允许执行脚本”，它才肯加载和解析内容。
- 误以为
sandbox是开关，其实是白名单：不列就不给，写了才开 -
sandbox=""比没加属性更危险：它制造一种“已隔离”的错觉，实则连基础渲染都失败 - 开发时若看到 iframe 空白且 Network 报错
ERR_BLOCKED_BY_RESPONSE，第一反应不是查 JS 错误，而是检查 sandbox 值是否为空或缺失 token
sandbox="allow-scripts" 后为什么还是读不到 document.cookie？
因为 allow-scripts 只解禁脚本执行，但沙箱 iframe 的 origin 被强制设为 null，与父页完全无关。这导致所有同源存储 API（document.cookie、localStorage、sessionStorage、IndexedDB）全部绑定到一个临时、匿名、无持久化的上下文里。
典型表现：localStorage.setItem('a', '1') 不报错，但刷新 iframe 后读不到；DevTools 的 Application 面板里对应 storage 显示为空或标为 “(inactive)”；父页也永远访问不到这个值。
- 这不是 bug，是设计使然：沙箱的目标是隔离，不是模拟同源环境
- 想持久化数据？必须由父页统一管理，iframe 仅通过
window.parent.postMessage()上报状态 - 测试时别信 DevTools 的 localStorage 标签页，改用控制台直接执行
Object.keys(localStorage)验证
能不能同时用 allow-scripts 和 allow-same-origin？
能写，但不等于能用。这个组合有硬性前提：allow-same-origin 仅在 iframe 的 src 确实与父页面同源（协议+域名+端口全一致）时才被浏览器识别；否则该 token 被静默忽略，控制台可能报警告，但不会生效。
更关键的是：即使同源 + 这两个 token，iframe 内脚本依然无法访问 window.parent 或跨 frame 操作 DOM —— 这是 sandbox 的强制 DOM 隔离，不可绕过。所谓“同源”在此语境下仅影响存储和 cookie 访问权限，不影响脚本通信能力。
- 不同源却硬加
allow-same-origin：既得不到 localStorage 权限，又暴露了对来源校验的疏忽 - 生产环境嵌入第三方内容时，
allow-same-origin应视为高危项，绝大多数场景应排除 - 验证是否生效：在控制台执行
document.querySelector('iframe').sandbox，返回的是实际生效的DOMTokenList，不是 HTML 字符串
生产环境嵌第三方 iframe 最小可行且可审计的配置是什么？
最小可行 ≠ 最宽松，而是“够用且可控”。广告、分析脚本、用户上传 HTML 等不可信内容，推荐 sandbox="allow-scripts allow-popups"；需提交表单的 widget，可加 allow-forms，但表单目标必须走 CORS，不依赖同源跳转。
绝对禁止的 token 包括：allow-same-origin、allow-top-navigation、allow-popups-to-escape-sandbox —— 它们在第三方上下文中没有安全落地路径，一旦启用就等于放弃隔离底线。
- 不要为了“功能完整”而开放高危权限，先明确业务是否真需要那个能力
-
referrerpolicy="no-referrer"应作为配套项加上，防止第三方通过document.referrer获取你页面路径 - 容易被忽略的点是：sandbox 不判断“谁可信”，只执行“能做什么”——它的价值不在灵活，而在可审计、可预期、可回溯
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
