Azure AD B2C 默认禁用 JavaScript 执行，导致静态 HTML 中的 iframe 被自动移除；启用 Allow 后，B2C 渲染引擎才会保留并渲染 iframe 等动态内容。
azure ad b2c 默认禁用 javascript 执行，导致静态 html 中的 iframe 被自动移除；启用 `
在 Azure AD B2C 自定义策略（Custom Policy）中，HTML 页面的渲染受到严格的安全策略限制。即使你已在自定义页面 HTML 中正确编写了 <iframe></iframe> 标签（如置于 #b2c-content 旁的独立容器内），B2C 的默认行为仍会在服务端预处理阶段过滤掉所有非白名单 HTML 元素及脚本相关结构——这包括 <iframe></iframe>、<script></script>、内联事件处理器（如 onclick）等，除非显式启用 JavaScript 支持。
根本原因在于：B2C 页面加载器默认以“无脚本模式”（ScriptExecution = Disallow）运行，此时不仅 JS 不执行，连依赖 DOM 动态插入或需 JS 协同渲染的元素（如某些 iframe 场景）也可能被剥离。你通过浏览器开发者工具观察不到 <iframe></iframe> 标签，正是因为该标签在 HTML 发送到客户端前已被策略引擎静默移除。
✅ 正确解决方案是在自定义策略文件（通常是 TrustFrameworkExtensions.xml 或 RelyingParty.xml）的 <relyingparty></relyingparty> 节点内，添加 <userjourneybehaviors></userjourneybehaviors> 配置并启用脚本执行：
<relyingparty><defaultuserjourney referenceid="SignIn"></defaultuserjourney><userjourneybehaviors><!-- 关键配置：允许客户端脚本执行 --><scriptexecution>Allow</scriptexecution></userjourneybehaviors><technicalprofile id="PolicyProfile"><!-- ... 其他配置 --></technicalprofile></relyingparty>
⚠️ 注意事项：
- 仅启用
<scriptexecution>Allow</scriptexecution>并不自动赋予 iframe 权限；你还需确保 iframe 的src符合浏览器同源策略与 Content Security Policy（CSP）。若广告资源位于第三方域名，请确认目标站点允许被嵌入（即响应头包含X-Frame-Options: ALLOW-FROM <your-b2c-domain></your-b2c-domain>或Content-Security-Policy: frame-ancestors 'self' <your-b2c-domain>'</your-b2c-domain>）。 - B2C 不支持在页面中直接执行任意 JS，但启用后可安全使用
<iframe></iframe>、<img>、CSS 动画及基础 DOM 操作（如通过document.getElementById获取元素）。 - 修改策略后务必重新上传所有策略文件（
TrustFrameworkBase.xml、Extensions.xml、RelyingParty.xml），并使用 Policy Key 版本验证，避免缓存导致配置未生效。 - 生产环境中应避免嵌入不可信第三方 iframe，以防点击劫持（Clickjacking）或信息泄露风险；建议对广告 iframe 添加
sandbox="allow-scripts allow-same-origin"属性以最小化权限。
总结：iframe 在 B2C 页面“消失”并非前端代码错误，而是策略级安全拦截。启用 <scriptexecution>Allow</scriptexecution> 是解锁 iframe 渲染能力的必要且充分条件——它告诉 B2C 渲染引擎：“此用户旅程允许富交互内容”，从而完整保留你 HTML 中声明的所有合法元素。
