sandbox属性在现代浏览器中默认全禁用，必须显式添加allow-scripts等白名单权限才能启用对应功能；空值或仅sandbox即启用全部限制，包括脚本不执行、表单不提交、存储不可读写、内联事件失效等。
iframe sandbox 属性在 Chrome/Firefox/Safari 中基本可用，但 IE 和旧版 Opera 不支持
空 sandbox 属性（如 <iframe sandbox></iframe> 或 <iframe sandbox=""></iframe>）在 IE 10+、Firefox 17+、Chrome 20+、Safari 6.1+ 中生效；IE 9 及更早版本和 Opera（任何版本）完全忽略该属性，相当于没加。这意味着你写了一堆 allow-scripts allow-forms，在 IE9 里照样能执行脚本、提交表单、跳转顶层——安全策略形同虚设。
排查方式很简单：打开控制台，执行 document.querySelector('iframe').sandbox。如果返回空的 DOMTokenList []，说明浏览器识别了 sandbox 但没开权限；如果报错或返回 undefined，大概率是 IE9 或更老内核，sandbox 根本没被解析。
- 不要依赖
try/catch检测是否支持——它不抛异常，只是静默失效 - 服务端做 UA 判断不可靠，优先用 JS 运行时检测 + 降级方案（比如对不支持的 UA 禁用 iframe 或改用 CSP 配合其他隔离手段）
- 如果你必须兼容 IE9，
sandbox就不能作为唯一防线，得配合 CSP、Content-Security-Policy响应头、以及严格的后端 XSS 过滤
为什么 sandbox="" 加了却没报错，但 iframe 一片空白？
这不是兼容性问题，而是浏览器行为一致：所有支持 sandbox 的现代浏览器，遇到空值都会直接拒收 HTTP 响应体，连 HTML 解析都不启动。Network 面板会显示 net::ERR_BLOCKED_BY_RESPONSE，而不是 404 或 CORS 错误。
常见误判是以为资源路径错了、CDN 挂了、或者子页面 JS 报错导致白屏。其实根本没到 JS 执行那步——HTML 字节流被拦截在解析前。
- 验证方法：检查 Network 面板中该 iframe 请求的状态，确认是不是
Failed to load resource: net::ERR_BLOCKED_BY_RESPONSE - 修复方式：把
sandbox改成至少一个有效 token，例如sandbox="allow-scripts" - 注意：
sandbox=" "（带空格）和sandbox=""效果一样，都是全锁死；逗号分隔（如sandbox="allow-scripts, allow-forms"）会导致后半部分被忽略
allow-scripts 开了，但 onclick="doSomething()" 还是不执行？
这是最常踩的坑：allow-scripts 只允许外链脚本（<script src="..."></script>）加载和执行，以及 eval()、setTimeout("...") 等动态代码执行，但它**不恢复任何内联事件处理器**。
也就是说，<button onclick="alert(1)"></button>、<img onload="init()">、javascript:void(0) 这些全部被静默屏蔽，控制台不报错、也不触发。
- 正确做法：把逻辑抽到外链 JS 或
srcdoc中的<script></script>块里，再用addEventListener绑定 - 如果嵌入的是无法修改的第三方 HTML（比如老广告 SDK），仅加
allow-scripts不够，得考虑加allow-popups（部分浏览器会放宽内联行为，但不保证）或换用非 sandbox 方案 -
allow-scripts+allow-same-origin也不能让内联事件复活——DOM 隔离和解析阶段限制是独立于 origin 的
allow-same-origin 加了也没用，localStorage 还是 SecurityError？
allow-same-origin 不是开关，是条件触发器：只有当 iframe 的 src 和父页面**协议 + 域名 + 端口三者完全一致**时，该 token 才被浏览器认可。否则，哪怕只差一个子域名（https://a.example.com vs https://b.example.com），它就被静默忽略。
即使你写了 sandbox="allow-scripts allow-same-origin"，只要跨域，localStorage.setItem() 仍会抛 SecurityError，DevTools 的 Application 面板里 storage 显示为 (inactive) 是正常现象。
- 调试技巧：在 iframe 内执行
window.location.origin，看是不是"null"—— 如果是，说明allow-same-origin没生效 - 生产环境嵌第三方内容时，绝对不要加
allow-same-origin；它只适用于你完全可控的同域 widget（比如内部管理后台的模块化嵌入） - 真正容易被忽略的是：
allow-same-origin并不解除 DOM 隔离——iframe 内 JS 依然无法访问window.parent或父页面document，这是 sandbox 的硬性设计
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
