iframe の sandbox 属性.

iframe の内容に追加の制限を課す HTML 属性。明示的に許可しない限り、スクリプト・フォーム・遷移・同一オリジンアクセスをすべて禁止する。 サイバーセキュリティの アプリケーションセキュリティ カテゴリに属します。

iframe の内容に追加の制限を課す HTML 属性。明示的に許可しない限り、スクリプト・フォーム・遷移・同一オリジンアクセスをすべて禁止する。

<iframe> の sandbox 属性は、埋め込みコンテンツに最小権限ポリシーを強制します。既定でスクリプト、プラグイン、フォーム送信、トップレベル遷移、ポップアップ、ポインターロックを無効化し、フレームを一意の不透明オリジンとして扱うため、親ページと Cookie やストレージを共有できません。allow-scripts、allow-same-origin、allow-forms、allow-popups などのトークンで機能を個別に再有効化します。サードパーティのウィジェット、不信ユーザー入力、広告、リッチテキストプレビューを埋め込む際の中核的な緩和策です。allow-scripts と allow-same-origin を同時指定するとサンドボックスは実質的に無効化されます。

iframe の sandbox 属性 に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。