allow属性必须用分号分隔且每项带括号来源，空格/逗号写法被现代浏览器直接忽略；需配合permissions-policy响应头生效；动态创建iframe时allow须在src前设置；移动端及safari有额外限制。
allow 属性必须用分号分隔，空格或逗号会彻底失效
浏览器（Chrome 100+、Firefox 100+）已完全废弃 allow="geolocation camera" 或 allow="geolocation, microphone" 这类空格/逗号分隔写法——它会被当成无效语法直接忽略，等同于没写。这不是兼容性降级，而是解析失败。
正确传值只有一种格式：allow 的值是多个权限项用英文分号 ; 连接，每个权限后必须紧跟着括号包裹的来源列表：
-
allow="geolocation 'self'; camera; microphone"❌ ——camera和microphone缺少括号，整项被丢弃 -
allow="geolocation 'self' https://maps.example.com; camera 'self'; microphone 'self'"✅ -
allow="fullscreen ()"✅ —— 显式禁止比不写更可靠
注意单引号不能省略：clipboard-read 'self' 中的 'self' 必须带引号；大小写不敏感但拼写必须精确：geolocation 不是 geo-location，camera 不是 camara。
跨域 iframe 权限生效必须双管齐下：allow + Permissions-Policy 响应头
allow 只是子帧的“申请白名单”，父页面的 HTTP 响应头 Permissions-Policy 才是最终闸门。两者取交集，缺一不可。
常见失效场景：
- 父页响应头为
Permissions-Policy: camera=()，哪怕allow="camera"写得再对也无效 - 跨域嵌入
https://widget.example.net，父页头却只写了camera=(self)，没包含该域名 → 权限被拒 - 生产环境用了
camera=*→ 现代浏览器直接拒绝，*已被废弃
检查方式：DevTools → Network → 找到 iframe 的 src 请求 → Headers → Response Headers → 确认 Permissions-Policy 存在且格式合规（如 geolocation=(self "https://your-domain.com")）。
动态创建 iframe 时 allow 必须在设置 src 前挂载
用 document.createElement('iframe') 创建后，如果先赋值 iframe.src 再设 iframe.allow，权限将不生效——浏览器已在加载阶段完成策略解析，后续修改无效。
正确顺序：
const iframe = document.createElement('iframe');iframe.allow = "geolocation; camera; microphone";iframe.src = "https://trusted-widget.example.com/widget.html";document.body.appendChild(iframe);
注意：若 iframe 同时带 sandbox 属性，必须显式包含 allow-scripts，否则子页 JS 根本不执行，自然无法触发 getUserMedia() 或 requestFullscreen()。
移动端和 Safari 的特殊限制容易被忽略
iOS Safari 对 allow 支持较晚（iOS 16.4+），旧版本即使属性全对也无效果；且系统级相机权限需用户手动在「设置 → 网站设置」中开启，iframe 无法绕过。
另外，自动播放音频需额外授权：
-
allow="camera; microphone; autoplay"✅ ——autoplay是独立权限，不是microphone的子集 - 对应
<video></video>标签必须带muted属性，否则play()仍会因策略被拒 -
allow="microphone"≠ 允许自动播放音频，这是两个不同策略
最常被漏掉的是：跨域 iframe 必须同时写 allowfullscreen 和 allow="fullscreen"，前者只是兼容补丁，后者才是现代浏览器真正检查的权限项。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
