iframe子页跳转父页无法用javascript拦截，sandbox属性是唯一有效防线；需静态设置sandbox="allow-scripts allow-top-navigation-by-user-activation"，禁用allow-top-navigation，并在子页头部插入try/catch防跳转脚本。
iframe子页跳转父页，根本拦不住
父页面无法用 JavaScript 拦截子页面执行 top.location.href = 'xxx' —— 这不是 bug，是浏览器设计。只要子页脚本能运行，它就能直接控制整个标签页。你写的 window.addEventListener('message', ...) 或 iframe.contentWindow.location 都在跳转发生后才起作用，纯属马后炮。
sandbox 是唯一真正有效的第一道防线
必须在 <iframe></iframe> 标签里静态写死 sandbox 属性，动态 JS 设置无效：
-
sandbox="allow-scripts"→ 子页可自由跳转父页（高危） -
sandbox="allow-scripts allow-top-navigation-by-user-activation"→ 仅用户点击后才能跳转（推荐） -
sandbox="allow-scripts"但不加allow-top-navigation*→ Chrome/Firefox 下top.location调用静默失败（Safari 旧版可能例外）
别用 allow-top-navigation，它等于放弃所有导航控制权。
子页自己防跳转，得抢在第一行 JS 执行
子页若可控，可在 最顶部插入检测逻辑，但必须满足三个条件：位置最前、包裹 try/catch、且不能依赖外部资源：
<script>
try {
if (window.top !== window.self) {
window.stop();
throw new Error('Embedded context blocked');
}
} catch (e) {}
</script>
这段代码只在子页能执行 JS 时有效；如果父页用了空 sandbox="" 或禁了脚本，它根本不会跑。
父页 fallback 只能做两件事：显示提示 + 提供重试入口
一旦子页已跳转，父页无任何手段“拉回”。所以重点应放在预防和兜底：
- 所有子页链接必须用
target="_blank"或明确禁止自动跳转（如登录页加if (window !== top) top.location.href = location.href） - 父页 iframe 区域旁固定放一个「重试加载」按钮，点击时清空
src再赋值，并加时间戳防缓存：iframe.src = src.split('?')[0] + '?t=' + Date.now() - 避免在 fallback 区域里再请求远程文案或图标——全用内联 base64 或本地字符串，否则 fallback 自己也可能白屏
真正容易被忽略的点是：sandbox 必须写在 HTML 标签里，且不允许带 allow-top-navigation；其余 JS 层方案全是补丁，不是防线。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
