iframe sandbox 属性.

HTML 属性,为 iframe 内容施加额外限制,默认禁用脚本、表单、导航与同源访问,除非显式重新启用。 它属于网络安全的 应用安全 分类。

HTML 属性,为 iframe 内容施加额外限制,默认禁用脚本、表单、导航与同源访问,除非显式重新启用。

<iframe> 的 sandbox 属性为嵌入内容应用最小权限策略。默认禁用脚本、插件、表单提交、顶层导航、弹窗、指针锁定,并将该框架视为唯一的不透明源,无法与父页共享 Cookie 或存储。需要恢复的能力可通过 allow-scripts、allow-same-origin、allow-forms、allow-popups 等令牌逐项开启。该属性是嵌入第三方组件、不可信用户内容、广告或富文本预览时的关键缓解措施。同时设置 allow-scripts 与 allow-same-origin 会实质上取消沙箱。

针对 iframe sandbox 属性 的防御通常结合技术控制与运营实践,详见上方完整定义。