allow="geolocation"无效因语法错误：必须写为geolocation 'self' https://example.com，多权限用分号分隔；且需父页permissions-policy响应头配合、https协议、用户手势触发。
allow="geolocation" 为什么没用
单独写 allow="geolocation" 浏览器会直接忽略——这不是兼容性问题，而是语法校验失败。现代浏览器（Chrome 100+、Firefox 100+）已废弃空格或逗号分隔的旧写法，allow="geolocation" 或 allow="geolocation, camera" 都等同于没写。
正确格式必须满足两个硬性条件：
-
geolocation后必须紧跟括号包裹的来源列表，例如geolocation 'self' https://maps.example.com - 多个权限项之间必须用分号
;分隔，不能用空格或逗号 - 单引号不能省略，
'self'不是字符串字面量，而是 Permissions Policy 中的特殊关键字
错误示例：allow="geolocation 'self'; camera" —— camera 缺少括号，整项被丢弃；allow="geolocation; camera ()" —— camera () 表示显式禁止，但 geolocation 仍因无来源列表而失效。
跨域 iframe 定位权限必须双端配合
allow 属性只是子帧的“申请白名单”，真正起决定作用的是父页面的 HTTP 响应头 Permissions-Policy。两者取交集，缺一不可。
常见失效场景：
- 父页响应头为
Permissions-Policy: geolocation=()，哪怕allow="geolocation 'self' https://widget.example.com"写得再对也无效 - 跨域时父页头必须精确列出目标源：
Permissions-Policy: geolocation=(self "https://widget.example.com")，不能用*（现代浏览器拒绝） - 开发时用
localhost测试成功，上线后因域名不匹配被拦截
验证方式：打开 DevTools → Network → 找到 iframe 的 src 请求 → Headers → Response Headers → 查看是否有合规的 Permissions-Policy 字段。
HTTPS 是硬门槛，HTTP 下所有权限静默失效
无论 allow 和响应头写得多规范，只要 iframe 的 src 是 http:// 协议，浏览器会直接禁用 navigator.geolocation.getCurrentPosition()，不弹提示、不报错、不触发回调。
典型表现：
- 控制台无报错，但定位按钮点击后无反应
-
navigator.geolocation对象存在，但调用getCurrentPosition()返回的 Promise 永远 pending - 移动端 Safari 在非 HTTPS 下甚至不显示定位授权弹窗
注意：自签名证书或本地 127.0.0.1 + HTTPS 通常可过，但 http://localhost 不行（协议不符）。
脚本必须由用户手势触发，且不能绕过 iframe 边界
即使权限全部配齐，navigator.geolocation.getCurrentPosition() 仍可能被拒绝，原因常是触发时机不对。
关键限制：
- 调用必须发生在用户手势事件中（如
click、touchstart），不能在load、DOMContentLoaded或定时器里自动执行 - 手势必须发生在 iframe 内部（比如 iframe 里的按钮），父页面按钮点击后通过
postMessage命令子帧调用，不算有效手势 - iframe 若带
sandbox属性，必须包含allow-scripts，否则 JS 根本不执行
最容易被忽略的一点：iOS Safari 对 iframe 内地理位置 API 支持极弱，部分版本要求用户先在系统设置中为整个网站开启定位权限，iframe 无法触发该系统级开关。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
