只写 sandbox 或 sandbox="" 会导致广告白屏失效，因浏览器直接拦截响应体、不构建 dom；allow-scripts 不恢复内联事件和 eval；最小安全组合是 sandbox="allow-scripts allow-popups"，且必须写死在 html 中。
sandbox 属性不加权限等于广告直接失效，不是“更安全”，而是“彻底失能”——白屏、脚本不执行、图片不加载、点击无响应，Network 面板显示 net::ERR_BLOCKED_BY_RESPONSE。
为什么只写 sandbox 或 sandbox="" 会导致广告白屏
空值或无值的 sandbox 会触发浏览器最底层的内容拦截策略：HTTP 响应体被直接拒绝解析，连 HTML 标签都不进 DOM 构建流程。这不是 JS 加载失败，也不是 404 或 CORS 错误，而是整个 iframe 内容被“拒之门外”。控制台执行 document.querySelector('iframe').sandbox 返回空 DOMTokenList []，就说明权限全锁死。
常见误判是反复检查广告 JS 路径或 CDN 是否可用，其实问题出在沙箱没开基本权限。
allow-scripts 单独启用仍可能让广告不工作的原因
allow-scripts 只解禁外链脚本（<script src=""></script>）的加载与执行，但不恢复任何内联行为：
-
onclick、onload、javascript:void(0)全部失效，且不报错 -
eval()、setTimeout("alert(1)")、Function构造器一律被禁 - 广告 SDK 若依赖内联事件绑定（如老版 Google AdSense 的某些写法），必须改用
addEventListener才能响应 - 广告图片懒加载若靠
loading="lazy"+ JS 补充逻辑，需确认该 JS 是外链而非内联
生产环境推荐的最小安全组合
广告插件不需要写 localStorage、不需跳转父页、不需提交表单，只应允许脚本执行和有限弹窗（如点击跳转到广告主落地页）：
- 基础可用：
sandbox="allow-scripts allow-popups" - 若广告含视频自动播放，可追加
allow-autoplay（注意部分浏览器仍需用户手势） - 绝对避免：
allow-same-origin（否则广告脚本能读取父页 cookie）、allow-top-navigation（可执行top.location = 'https://phishing.site'） - 不要加
allow-forms：广告从不提交表单；加了反而增加 XSS 利用面
动态设置 iframe.sandbox 无效，必须写死在 HTML 中
JavaScript 动态赋值 iframe.sandbox = "allow-scripts" 不起作用——浏览器只在 iframe 插入 DOM 前读取该属性值。必须在 HTML 中写死，例如：
<iframe src="https://ad.example.com/widget.html" sandbox="allow-scripts allow-popups" width="100%" height="250"></iframe>
另外，allow-same-origin 在不同源时会被浏览器静默忽略，既得不到权限，又暴露配置疏忽；真正生效的前提是 src 必须与父页协议、域名、端口完全一致。广告场景几乎永远不满足该条件，所以别加。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
