iframe 沙箱与权限策略

内嵌框架中的不可信内容（第三方组件、用户提交的 HTML 预览、嵌入式游戏）不应拥有完整的浏览器功能。sandbox 属性会限制内嵌框架能够执行的操作，从而在内容最终被证明为恶意内容时减小损害。

<iframe sandbox src="..."> 不设置值时会应用所有限制：禁止脚本、表单、弹出窗口、顶层导航和插件，并将其视为唯一源。请以此作为起点，只添加嵌入内容实际需要的功能。

沙箱令牌可以重新启用特定功能：sandbox="allow-scripts allow-same-origin" 允许执行脚本并访问同源内容。每个令牌都会放宽一项限制；请只组合内嵌框架实际需要的最小集合。

allow-scripts 启用 JS。allow-forms 启用表单提交。allow-popups 启用 window.open。allow-same-origin 避免将内嵌框架视为唯一源（localStorage 需要此功能）。allow-top-navigation 允许导航父窗口。

对于同时由您托管的内嵌框架，将 allow-scripts 与 allow-same-origin 结合使用，会使内嵌框架完全访问您的源，包括移除自身沙箱的能力。仅对可信内容使用这种组合；对于不可信内容，请省略 allow-same-origin。

权限策略（以前称为功能策略）控制页面及其内嵌框架可以使用哪些浏览器接口（摄像头、麦克风、地理位置、全屏和自动播放）。请在父页面上设置：Permissions-Policy: geolocation=() 会在所有位置阻止地理位置功能。

内嵌框架上的 allow 属性会覆盖父页面针对该内嵌框架的策略：<iframe allow="camera; microphone"> 即使父页面的默认策略拒绝这些接口，也会允许内嵌框架使用它们。

规范中的权限列表不断变化——摄像头、麦克风、地理位置、加速计、陀螺仪、磁力计、支付、usb、midi、全屏、自动播放、画中画，以及其他几十项。请审查这份列表，并明确拒绝页面不需要的所有功能。

权限策略会像 CSP 的 report-uri 一样，将违规报告发送到配置的端点。在迁移期间可以使用此功能：启用严格策略，观察哪些功能出现问题，然后针对合法功能以审慎的方式放宽策略。

对于敏感页面，请设置 Cross-Origin-Opener-Policy: same-origin 和 Cross-Origin-Embedder-Policy: require-corp。这样可以将页面与跨源窗口隔离，防范 Spectre 类时序攻击，并启用 SharedArrayBuffer。

Sandbox、权限策略、CSP 以及 COOP/COEP 会共同形成分层防护。每一层都能防御不同类别的攻击。嵌入第三方内容本身风险很高，因此单一缓解措施并不足够——请组合使用这些措施，让一项措施的绕过能够被另一项措施拦截。

使用 Chrome DevTools 中的网络面板和问题面板，发现沙箱及权限违规。许多违规不会显示任何提示（接口只会返回 undefined 或拒绝 promise）；明确的报告端点有助于在生产环境中发现这些问题。

对于托管在您自己源上的内嵌框架，为什么 sandbox="allow-scripts allow-same-origin" 这一组合可能很危险？

默认情况下为内嵌框架启用沙箱，只添加内容所需的令牌。对于不可信内容，避免使用 allow-scripts+allow-same-origin。使用权限策略在整个网站范围内拒绝强大接口，并使用内嵌框架的 allow 属性授予例外权限。结合 CSP 和 COOP/COEP，构建纵深防御。