只写sandbox或sandbox=""会导致白屏，因为浏览器直接拒绝解析响应体，http响应连html解析阶段都进不去，network显示net::err_blocked_by_response；空值触发最底层拦截策略，需显式配置如sandbox="allow-scripts"才能启用基础功能。
为什么只写 sandbox 或 sandbox="" 就白屏？
这不是 bug，是浏览器直接拒绝解析响应体：HTTP 响应连 HTML 解析阶段都进不去，Network 面板显示 net::ERR_BLOCKED_BY_RESPONSE。空值 sandbox 触发的是最底层拦截策略，不是“脚本被拦”，而是“内容根本没加载”。
验证方式很简单：document.querySelector('iframe').sandbox 返回空 DOMTokenList []，就说明没开任何权限，全锁死了。
- 别在控制台查 JS 报错——它压根没机会执行
- 别检查 CDN 路径或 404——问题不在资源，而在沙箱准入规则
- 修复只需一行：
sandbox="allow-scripts"，至少让 HTML 和脚本能跑起来
allow-scripts 单独启用时，为什么 onclick 还是不触发？
allow-scripts 只解禁 <script src="..."></script> 和 <script>...</script> 的执行，以及 eval() 类动态执行，但**不恢复 HTML 内联事件处理器**。
现象是：onclick="alert(1)"、onload、javascript:void(0) 全部静默失效，控制台也不报错。
- 原因：内联 handler 属于 HTML 解析阶段行为，受更底层策略约束，
allow-scripts不覆盖它 - 正确做法：把逻辑移到外部 JS 或
srcdoc中的<script></script>块，再用addEventListener绑定 - 若必须兼容第三方不可改的 HTML（含大量 onclick），仅加
allow-scripts不够；可试allow-popups（部分浏览器会放宽，但不可靠，不推荐）
allow-same-origin 在跨域 iframe 里写了也白搭？
是的。这个 token 单独存在完全无效，且浏览器会静默忽略——它不是“信任开关”，而是“同源校验通过后的解锁钥匙”。
浏览器先比对 iframe 的 src 是否与父页严格同源（协议 + 域名 + 端口全一致）。只要不同源，allow-same-origin 就被丢弃，localStorage、cookie、同源 fetch() 全部继续报错。
- 例如父页是
https://a.com，iframesrc是https://b.com/widget.html，硬加allow-same-origin不仅无效，还暴露配置疏忽 - 即使同源且开了
allow-scripts allow-same-origin，iframe 内脚本依然无法访问window.parent或操作父 DOM——这是 sandbox 的硬边界，不可绕过 - 生产环境嵌第三方内容时，永远不要加
allow-same-origin
跨域广告/图表类 iframe 的最小安全组合怎么配？
目标明确：让 JS 跑起来、广告能展示、链接能新开窗口，但绝不碰表单、存储、跳转顶层页面。
推荐组合：sandbox="allow-scripts allow-popups"
-
allow-scripts：加载广告 SDK、渲染图表逻辑必需 -
allow-popups：支持广告中的“查看详情”“跳转官网”等window.open()行为 - 不加
allow-forms：广告不需要提交表单 - 不加
allow-same-origin：广告域名必然跨域，加了也无效，反而误导 - 不加
allow-top-navigation：禁止广告跳转整个父页面，改用postMessage通知父页可控跳转
动态插入 iframe 时，iframe.sandbox = "allow-scripts" 无效——必须在 DOM 插入前就写死属性值。容易被忽略的坑点：上线后发现广告白屏，结果是构建流程中模板漏写了权限 token。
