html怎么做Feature Policy特性策略_html Feature Policy浏览器特性策略控制【详解】-html教程-PHP中文网

permissions-policy已取代feature-policy，旧头在chrome 100+等浏览器中静默失效；必须使用permissions-policy响应头和allow属性（分号分隔、括号指定来源），且需明确控谁、控什么、在哪控。

html怎么做feature policy特性策略_html feature policy浏览器特性策略控制【详解】

Feature Policy 已正式更名为 Permissions-Policy，旧名 Feature-Policy 在现代浏览器（Chrome 100+、Firefox 110+、Safari 16.4+）中已被弃用或仅作兼容支持——直接写 Feature-Policy 响应头或 allow 属性，大概率被忽略，且不报错，策略“静默失效”。

为什么 `Feature-Policy` 头在 Chrome 100+ 里不生效

这不是配置漏了，而是浏览器已移除对该 header 的解析逻辑。2021 年起 W3C 正式将规范重命名为 Permissions Policy，所有主流引擎同步更新：HTTP 响应头必须是 Permissions-Policy，<iframe></iframe> 的 allow 属性语法保持不变但语义已对齐新规范。

写 Feature-Policy: geolocation 'self' → DevTools Network 标签页能看到 header，但浏览器根本不读它
写 Permissions-Policy: geolocation=(self) → 才真正生效（注意括号语法，不是单引号）
IIS Web.config 或 Nginx add_header 中仍沿用旧名，属于典型配置过期，需手动替换

`<iframe allow></iframe>` 里写错括号或分隔符就彻底失权

allow 是唯一能在 HTML 层级实时生效、且优先级高于响应头的控制方式，但它极其敏感于格式细节。一个空格、少个括号、用错分隔符，都会导致整个权限被浏览器按默认策略拒绝（即 NotAllowedError）。

html-deploy

使用 htmlcode.fun 将 HTML 内容或文件部署到网页，适用于用户要求“部署到网页”“托管此 HTML”“生成此前端...的实时链接”等场景。

下载

错误：allow="geolocation 'self' clipboard-read" → 缺少 clipboard-read 的来源，且用空格分隔 → Chrome 100+ 直接忽略整条 allow
正确：allow="geolocation 'self'; clipboard-read 'self'" → 分号分隔；每个权限后必须跟括号包裹的来源列表
() 表示显式禁止（比省略更可靠），* 表示允许任意源（microphone=* 等同于开放麦克风给全网 iframe，高危）
'self' 指 iframe 自身的源（如 https://embed.example.com），不是父页面源；跨域 iframe 无法访问父页面 DOM，但能用自己的源申请权限

服务器配 `Permissions-Policy` 头时容易丢策略

这个 header 必须由后端注入，前端 JS 无法设置；且它作用于整个响应上下文（当前页面 + 所有 iframe），除非被 allow 覆盖。但配置不当会导致策略“看似存在，实则未送达”。

开发时用 file:// 协议打开 HTML → 所有权限策略自动失效（浏览器不应用任何策略）
Nginx/Apache 配置没加 always（如 Nginx：add_header Permissions-Policy "...";）→ 该 header 只出现在 200 响应，304、404、500 均丢失
写成 geolocation='none' 或 geolocation=none → 旧语法，现代浏览器直接跳过整条 header
正确写法（Nginx 示例）：add_header Permissions-Policy "geolocation=(self \"https://maps.example.com\"), camera=(), clipboard-write=(self)" always;（注意英文逗号分隔、括号、转义双引号）

`navigator.permissions.query()` 返回 `prompt` 不代表能调用 API

这是最常被误解的一点：查权限返回 {state: "prompt"}，只说明“还没被用户拒绝”，不代表此刻就能安全调用 navigator.geolocation.getCurrentPosition() 或 navigator.clipboard.readText()。

硬性前提一：必须由用户手势触发（click、touchend、keyEnter），不能在 DOMContentLoaded 或 load 事件中自动执行
硬性前提二：所在上下文（尤其是 iframe）必须已通过 allow 或响应头获得该权限授权；否则 query 直接返回 denied 或抛错
即使 query 返回 granted，也建议包裹 try/catch —— 某些设备（如无 GPS 的桌面机）、系统策略（企业 MDM）、或临时硬件故障都可能导致调用失败
不要依赖 <meta http-equiv="Permissions-Policy">：兼容性差，Chrome 已不支持，仅限顶层文档，且无法控制 iframe

真正难的不是写对那几行配置，而是理清“控谁、控什么、在哪控”——同一个 geolocation 指令，在父页面响应头里设为 (self)，在子 iframe 的 allow 里设为 ()，在 JS 调用前又没检查手势，三者只要一环断掉，功能就崩，且错误信息模糊（常只报 NotAllowedError，不指明原因）。