空sandbox值导致广告白屏且弹窗失效，必须显式设sandbox="allow-scripts allow-popups"；allow-scripts仅解禁外链脚本，内联事件如onclick仍被静默拦截，需改用addeventlistener。
iframe广告弹窗防不住？先看sandbox是不是空值
只写 sandbox 或 sandbox=""，广告 iframe 会直接白屏，Network 面板显示 net::ERR_BLOCKED_BY_RESPONSE。这不是广告没加载成功，是浏览器压根没解析 HTML 响应体——DOM 不构建、脚本不执行、图片不 decode、事件全失效。验证方式很简单：document.querySelector('iframe').sandbox 返回空 DOMTokenList [] 就说明权限被清零。
修复方法只有一条：必须显式声明最小必要权限，比如 sandbox="allow-scripts allow-popups"。引号不能省，也不能用 JS 动态赋值（iframe.sandbox = "allow-scripts" 无效）。
allow-scripts开了，为什么弹窗和点击还是没反应
allow-scripts 只解禁外链脚本（<script src="..."></script>）的加载与执行，对所有内联行为一律静默拦截：
-
onclick="adClick()"、onload、javascript:void(0)全部不触发，且不报错 -
eval()、setTimeout("alert(1)")、Function构造器被禁 -
document.write()和同步XMLHttpRequest同样被拦 - 广告 SDK 若依赖内联绑定，必须改用
addEventListener
老版广告代码常靠 onclick 或 javascript:; 触发跳转，这类写法在沙箱下完全失能，但控制台不会提示任何错误，容易误判为“广告没加载”。
生产环境 sandbox 权限怎么配才既安全又可用
广告插件不需要读取父页 cookie、不需跳转顶层页面、不需提交表单，只应允许脚本执行和有限弹窗（如跳转到广告主落地页）。每个加上的 token 都是攻击面：
- 基础可用：
sandbox="allow-scripts allow-popups" - 含视频自动播放可追加：
allow-autoplay（注意部分浏览器仍需用户手势） - 绝对禁止：
allow-same-origin（广告脚本能读取父页document.cookie）、allow-top-navigation（可执行top.location = 'https://phishing.site'） - 别加
allow-forms：广告从不提交表单；加了反而暴露 XSS 利用路径
常见错误是抄模板堆砌权限，比如 sandbox="allow-scripts allow-same-origin allow-popups allow-forms allow-top-navigation"——这几乎等于没加沙箱。
广告弹窗绕过 sandbox 怎么办？MutationObserver 是最后防线
当广告脚本绕过 CSP、用 JS 动态插入 <div class="ad-modal"> 或 <code><dialog></dialog> 时，MutationObserver 是较稳妥的客户端补救方式。重点不是等弹窗出现再关，而是在它被 appendChild 的瞬间移除：
关键点在于监听时机要早——必须在 加载完成、DOMContentLoaded 之前注入观察逻辑；否则可能漏掉第一批动态插入的节点。过滤规则不能只靠 class 名（如 ad-popup），要结合 style 属性（position: fixed; z-index: 9999）、尺寸异常、子节点含 iframe 或 img[src*="doubleclick"] 等多维特征。单纯靠 display: none 或 remove() 无法持久生效，刷新页面后一切照旧。
