加了sandbox却白屏或脚本不执行，是因为空值sandbox触发浏览器最底层拦截，http响应体被拒收、html解析跳过、dom树无内容且network显示net::err_blocked_by_response；必须显式设sandbox="allow-scripts"等权限才启动解析与执行。
加了sandbox却白屏或脚本不执行？不是代码错，是权限全锁死
直接写 <iframe sandbox></iframe> 或 <iframe sandbox=""></iframe>，浏览器会拒绝解析整个响应体，Network 面板显示 net::ERR_BLOCKED_BY_RESPONSE，iframe 空白、无 HTML 渲染、控制台静默——这不是加载失败，是底层拦截。它不等价于“默认隔离”，而是“零权限启动”。
验证方法：控制台执行 document.querySelector('iframe').sandbox，返回空 DOMTokenList [] 就说明没开任何权限。
常见误判是反复检查 JS 路径或语法，其实只需加至少一个 token 才能启动加载。
sandbox="allow-scripts" 为什么 onclick 还是没反应
allow-scripts 只解禁外链脚本（<script src="xxx"></script>）和 eval() 类执行，但不恢复 HTML 解析阶段的内联行为：
• onclick、onload、javascript:void(0) 全部静默失效，且不报错
• document.write()、同步 XMLHttpRequest、postMessage 以外的跨 frame 访问仍被禁止
• iframe 的 window.origin 强制为 "null"，无法访问 window.parent 或父页 DOM
必须把所有交互逻辑移入 <script></script> 块或外部 JS，并用 addEventListener 绑定事件。
allow-same-origin 和 allow-scripts 同时出现的真实效果
这两个 token 不是简单叠加，而是有强依赖和高风险：
• allow-same-origin 单独存在无效，浏览器直接忽略
• 必须与 allow-scripts 同时存在，且 src 真实同源（协议+域名+端口全一致），才可能恢复 localStorage、同源 fetch()、cookie 读写
• 即使生效，window.parent 和 document 仍不可访问——DOM 隔离是 sandbox 的硬边界
• 若 src="https://third-party.com/widget.html" 却硬加 allow-same-origin，该 token 被静默丢弃，既得不到权限，又暴露配置疏忽
生产环境嵌第三方内容时，永远不要加 allow-same-origin。
按场景选最小权限组合，别堆砌 allow-*
每个加上的 token 都意味着额外攻击面，拒绝抄模板：
• 只展示带 JS 的广告/图表：sandbox="allow-scripts allow-popups"（禁表单、禁存储、禁跳转父页）
• 嵌入用户填写的问卷（需提交）：sandbox="allow-scripts allow-forms allow-popups"（表单目标走 CORS，不碰 allow-same-origin）
• 加载同源可信子系统（如 https://yourapp.com/admin.html）：sandbox="allow-scripts allow-same-origin allow-forms"（必须确认 URL 真同源，且服务端返回正确 CORS 头）
• 绝对避开：allow-top-navigation、allow-top-navigation-by-user-activation、allow-popups-to-escape-sandbox——它们在第三方上下文中没有安全落地路径
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
