加了sandbox却白屏或js不执行，是因为空值sandbox触发浏览器最底层拦截，http响应体被拒收、html解析跳过，dom树无内容且network显示net::err_blocked_by_response；必须显式设sandbox="allow-scripts"等权限才启动解析与执行。
为什么加了 sandbox 却白屏或 JS 一点不动
不是脚本写错了，是浏览器压根没开始解析 iframe 内容。只要写了 sandbox 或 sandbox=""，就触发最底层拦截：HTTP 响应体被直接拒收，Network 面板显示 net::ERR_BLOCKED_BY_RESPONSE，DOM 树里连 都没有。控制台静默，不报错也不警告。
验证方法很简单：在控制台执行 document.querySelector('iframe').sandbox，返回空的 DOMTokenList [] 就说明权限全锁死。
- 修复只有一条路：把属性值改成明确的权限组合，至少含
allow-scripts - 别写
sandbox=""，也别只写sandbox—— 这等于告诉浏览器“什么都别干” - 动态设置
iframe.sandbox = "allow-scripts"无效，必须在 DOM 插入前就写死
allow-scripts 单独启用时，哪些 JS 能跑、哪些会静默失效
allow-scripts 只解禁外链脚本（<script src="xxx.js"></script>）的加载与执行，其他所有“内联式”行为仍被屏蔽，且不报错——你点了按钮没反应、onclick 绑定无效、javascript:void(0) 链接点不动，都是正常表现。
- ✅ 允许：
<script src="https://cdn.example.com/widget.js"></script>（需服务端返回正确Access-Control-Allow-Origin头） - ❌ 禁止：
<button onclick="alert(1)">点我</button>、@#@#@#@#@#@#@#@#@#@0、eval()、setTimeout("alert(1)")、Function构造器 - ⚠️ 注意：第三方广告 SDK 若依赖
onclick或内联 handler，必须改用addEventListener才能响应
生产环境推荐的最小安全组合，以及绝对要避开的高危 token
广告、分析、用户上传内容这类不可信插件，不需要读写本地存储、不需要跳转父页、不需要提交表单。真正需要的只有脚本执行和有限弹窗（如广告落地页），其余权限全是攻击面。
- ✅ 推荐组合：
sandbox="allow-scripts allow-popups"—— 支持window.open()，新开窗口不继承沙箱（注意：它拥有完整权限） - ✅ 视频广告可追加：
allow-autoplay（但部分浏览器仍要求用户手势） - ❌ 绝对禁止：
allow-same-origin（同源时可读取父页 cookie、localStorage）、allow-top-navigation（可执行top.location = 'https://phishing.site'）、allow-forms（广告从不提交表单，加了反而扩大 XSS 利用路径） - ⚠️
allow-same-origin不是信任开关：它只在src确实与父页协议+域名+端口完全一致时才生效；不同源时该 token 被静默忽略，还暴露配置疏忽
沙箱 iframe 中的 localStorage 和状态同步怎么处理
沙箱 iframe 的 localStorage、sessionStorage、IndexedDB 全部绑定到一个临时、匿名、无持久化的 null origin 上。即使开了 allow-scripts，刷新后数据消失，父页也永远访问不到。
- DevTools 的 Application 面板显示为空或标为 “(inactive)” 是误导，真实状态是：
localStorage.length返回0，Object.keys(localStorage)返回空数组 - 需要保存配置、用户偏好？由父页统一托管，插件通过
window.parent.postMessage()上报变更 - 父页监听时必须校验
event.origin，不能仅靠allow-same-origin放行 - 别试图在沙箱内用
document.cookie—— 它读写的也是nullorigin 下的隔离 cookie，与父页完全无关
sandbox 比不加更危险，而 allow-scripts 开了也不等于“JS 能跑通”。前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
