allow属性未生效是因值格式、拼写或配套条件错误；必须用分号分隔权限项，如allow="geolocation; camera; microphone"，空格或逗号分隔、拼写错误、缺少括号、动态设置顺序错误等均导致静默失效。
直接写 allow 属性但没生效？不是浏览器 bug，是值格式、拼写或配套条件全错了——现代浏览器对 allow 的解析极其严格，错一个字符就静默忽略，不报错也不提示。
allow 值必须用分号分隔，空格或逗号会彻底失效
旧写法如 allow="geolocation camera" 或 allow="camera,microphone" 在 Chrome 100+、Firefox 100+ 中已被废弃，整个属性被当成无效，等同于没写。
- ✅ 正确：
allow="geolocation; camera; microphone" - ❌ 错误：
allow="geolocation camera"（空格分隔） - ❌ 错误：
allow="camera,microphone"（逗号分隔） - ❌ 错误：
allow="camera; geolocation 'self' https://maps.example.com"（'self'缺少括号，整项失效）
权限项之间允许有空格（如 allow="camera ; geolocation"），但分隔符必须是分号；引号仅用于带源列表的项，不能套错。
常见权限名拼写必须精确，大小写不敏感但字母不能错
allow 不是“写了就授权”，而是向浏览器申明“我允许子帧向这个域申请某能力”。拼错即白写，且控制台不会警告。
-
geolocation不是geo-location、location或gps -
fullscreen不是full-screen、allow-fullscreen或screenfull -
clipboard-read和clipboard-write中的连字符不能换成下划线 -
camera单独写无法启用视频流——必须搭配microphone，否则getUserMedia({video: true})报NotAllowedError
移动端尤其敏感：iOS Safari 对 camera 权限要求系统级手动开启，allow 只是前端第一道门槛，跨不过去就卡在 getUserMedia 调用前。
跨域 iframe 必须同时满足 allow + Permissions-Policy 响应头
allow 是父页给的“入场券”，但子页服务器的 Permissions-Policy 响应头才是最终闸门。两者取交集，缺一不可。
- 父页写了
allow="camera; geolocation"，但子页响应头是Permissions-Policy: camera=()→ 权限被拒绝 - 子页响应头写了
Permissions-Policy: geolocation=(self "https://your-domain.com")，但父页allow没包含geolocation→ 同样失败 - 生产环境禁止用
camera=*，现代浏览器直接无视，必须写明具体域名，如camera=("https://widget.example.net")
验证方式：打开 DevTools → Network → 找到 iframe 的 src 请求 → Headers → Response Headers → 查看 Permissions-Policy 是否存在且格式合规。
动态创建 iframe 时，allow 必须在设置 src 前赋值
用 JavaScript 创建 iframe 时，顺序错误会导致权限完全不生效——浏览器在加载开始时就锁定了策略，之后再改 allow 没用。
- ❌ 错误顺序：
iframe.src = url; iframe.allow = "geolocation; camera"; - ✅ 正确顺序：
const iframe = document.createElement('iframe'); iframe.allow = "geolocation; camera"; iframe.src = url; - 若用
srcdoc，同样要先设allow再设srcdoc，否则内联内容也无法调用权限 API
最容易被忽略的是：即使 HTML 里写对了，如果 iframe 是 JS 动态插入且顺序错了，navigator.geolocation.getCurrentPosition() 或 getUserMedia() 仍会立刻失败，且错误信息和静态写法一样，排查时容易误判。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
