allow="geolocation"无效，因现代浏览器要求权限项必须用分号分隔且每项后跟括号包裹的来源列表，如allow="geolocation 'self'"；还需配合https、permissions-policy响应头及正确加载顺序才能生效。
allow="geolocation" 为什么没用
直接写 allow="geolocation" 不会触发任何权限请求，浏览器会静默忽略——这不是兼容性问题，而是语法无效。现代浏览器（Chrome 100+、Firefox 100+）要求 allow 值必须是分号分隔的权限项，且每项后必须跟括号包裹的来源列表。
-
allow="geolocation"❌ 缺少来源列表，整条被丢弃 -
allow="geolocation 'self'"❌ 单引号存在但没括号，仍无效 -
allow="geolocation 'self'; camera 'self'"✅ 正确格式，'self'表示同源允许
必须配合 HTTPS 和 Permissions-Policy 响应头
即使 allow 写对，HTTP 协议下所有地理定位权限都会被浏览器强制禁用。而且父页面的 HTTP 响应头 Permissions-Policy 是最终闸门，allow 只是子帧的“申请白名单”，二者取交集才生效。
- 父页面响应头必须包含类似：
Permissions-Policy: geolocation=(self "https://maps.example.com") - 跨源 iframe（如嵌入高德地图）时，
"https://maps.example.com"必须精确匹配其src协议+域名 - 若响应头是
geolocation=()（空括号），哪怕allow写得再全也无权调用 - 本地开发可用
localhost测试，但生产环境不能用*替代真实域名
iframe 加载顺序和动态创建的坑
用 document.createElement('iframe') 动态创建时，如果先赋值 iframe.src 再设置 iframe.allow，权限策略已解析完毕，allow 就失效了。
- 正确顺序：创建元素 → 设置
allow→ 设置src（或srcdoc） -
srcdociframe 默认无源（about:srcdoc），此时allow会被忽略，必须搭配sandbox="allow-scripts allow-same-origin" - 不要依赖
allow="*"—— 已被废弃，等价于未声明
调用 navigator.geolocation.getCurrentPosition() 还失败？查这几点
控制台报 NotAllowedError 或无反应，大概率不是 JS 写错了，而是权限链断在某一层：
- 检查 iframe 的
src是否为 HTTPS；HTTP 下allow完全不生效 - 打开 DevTools → Network → 找到 iframe 的
src请求 → 查看 Response Headers 中是否有合规的Permissions-Policy - 确认拼写：是
geolocation，不是geo-location、location或geoLocation - iOS Safari 对
geolocation支持不稳定，可尝试加通配符：allow="geolocation *"提升兼容性（仅限非敏感场景）
allow 属性，而在于它和 HTTPS、响应头、加载时机三者严丝合缝的配合。漏掉任意一环，navigator.geolocation.getCurrentPosition() 都只会静默失败或抛出模糊错误。前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
