空sandbox属性不实现跨域文档结构隔离，而是强制origin为null并默认禁用所有能力；真正隔离靠iframe天然跨域机制，sandbox仅在其基础上收紧权限。
sandbox 属性本身不实现“跨域文档结构隔离”，它只强制 origin 为 null 并默认禁用所有能力；真正起隔离作用的是 iframe 天然的跨域机制，sandbox 是在此基础上做权限收紧。直接加空 sandbox 会导致 iframe 白屏或功能瘫痪，必须按需开启白名单。
为什么空 sandbox 会让 iframe 无法渲染内容？
空 sandbox（如 <iframe sandbox></iframe>）等价于启用全部限制：脚本不执行、CSS 不解析（除非内联且无 JS 触发）、document.write 失效、srcdoc 中的 script 标签被忽略、连 img 的 loading="lazy" 都可能被阻断。浏览器根本不会触发 DOM 构建流程，更谈不上“文档结构隔离”。
- 常见错误现象：
iframe显示空白，控制台无报错，但contentDocument为null或只含 - 真实使用场景：仅用于加载纯静态说明卡片（配合
srcdoc），或作为 postMessage 通信信道的“壳”，不承载交互逻辑 - 正确做法：至少加
allow-scripts才能运行初始化代码，加allow-same-origin前必须确认src与父页协议+域名+端口完全一致
如何让跨域 iframe 保持结构完整又不越界？
跨域 iframe 的 DOM 结构天然隔离——父页无法通过 iframe.contentDocument 访问其节点，这是同源策略的底层保障。sandbox 的作用是进一步封堵 iframe 内部的“自毁式越界”，比如通过 window.parent 窃取父页数据、用 document.cookie 拦截凭证、或调用 top.location.href 劫持导航。
- 关键参数组合：
sandbox="allow-scripts allow-forms allow-popups"—— 允许脚本和表单提交，但禁止访问父级上下文 - 绝对禁止：
allow-same-origin用于不同源src，浏览器会静默忽略该 token，且控制台可能输出警告，暴露配置漏洞 - 结构保留技巧：用
srcdoc替代src加载简单 HTML 片段（如<div class="card">Hello</div>），避免外部资源加载失败导致结构断裂
document.cookie 和 localStorage 在沙箱 iframe 中为何必然失效？
加了 sandbox 后，iframe 的 origin 被强制设为 null，cookie 和存储 API 绑定到一个匿名、临时、不可持久化的空间。即使写入成功，刷新后消失，DevTools 的 Cookies 面板里也找不到条目，父页调用 iframe.contentWindow.document.cookie 直接抛 SecurityError。
- 典型误判：以为漏配
allow-same-origin导致 cookie 失效 —— 实际上只要sandbox存在，cookie 就不可能跨 iframe 持久化 - 替代方案：所有状态传递必须走
postMessage，例如 iframe 内点击按钮后发window.parent.postMessage({ type: 'UI_ACTION', payload: { id: 'btn-1' } }, 'https://yourapp.com') - 父页监听时必须校验
event.origin，不能只依赖sandbox配置，否则中间人可伪造消息
为什么 referrerpolicy + loading="lazy" + CSP 必须和 sandbox 一起用？
sandbox 只管 iframe 内部行为，不管它对外发起的请求。一个带 allow-scripts 的沙箱 iframe 仍可能通过 fetch() 泄露来源 URL、加载恶意第三方资源、或触发预加载攻击。
-
referrerpolicy="no-referrer"：防止 iframe 内请求带上父页 URL，避免敏感路径泄露 -
loading="lazy"：延迟加载非首屏 iframe，减少初始攻击面，尤其对广告/统计类 iframe 关键 - 服务端必须配
Content-Security-Policy: frame-ancestors 'self'或frame-ancestors 'none'，否则别人可以把你的页面嵌进他们的恶意站点
沙箱不是开关，是权限刻度尺；真正隔离靠的是 iframe 跨域机制本身，sandbox 只是把这把尺子的刻度调得更细——而多数人一开始就拿错了尺子方向。
