आप iframe और sandbox के साथ सामग्री को सुरक्षित रूप से कैसे एम्बेड करते हैं?

Question

Accepted Answer

एक ` ``` ## Sandbox कैसे काम करता है `sandbox` कोई **मूल्य** नहीं के साथ *अधिकतम* प्रतिबंध लागू करता है: कोई स्क्रिप्ट नहीं, कोई फॉर्म नहीं, कोई पॉपअप नहीं, सामग्री को एक अनन्य मूल के रूप में मानता है। आप फिर **चुनिंदा रूप से पुनः-सक्षम** क्षमताओं को tokens सूचीबद्ध करके: ```html ``` सामान्य tokens: - `allow-scripts` — इसे JavaScript चलाने दें। - `allow-forms` — इसे फॉर्म जमा करने दें। - `allow-same-origin` — इसका मूल रखें (इसके बिना यह एक null मूल है, स्टोरेज/कुकीज़ को अवरुद्ध करता है)। - `allow-popups`, `allow-modals`, `allow-top-navigation`। **सुरक्षा नोट:** `allow-scripts` **और** `allow-same-origin` को जोड़ने से फ्रेम अपना sandbox हटा सकता है यदि वह same-origin है — अविश्वसनीय सामग्री के लिए इस संयोजन से बचें। ## अन्य सुरक्षा विशेषताएं ```html ``` ## यह क्यों महत्वपूर्ण है Iframes तीसरे पक्ष या उपयोगकर्ता-जन्य सामग्री को एम्बेड करते हैं जो आप नियंत्रण नहीं करते हैं और जिस पर आपको पूरी तरह से विश्वास नहीं करना चाहिए। `sandbox` (डिफ़ॉल्ट रूप से अस्वीकार करें, केवल जो आवश्यक है) साथ ही `referrerpolicy`/`allow` आपको उस सामग्री को सीमित करने देता है — इसे अवांछित स्क्रिप्ट चलाने, आपके पृष्ठ को नेविगेट करने, या डिवाइस सुविधाओं तक पहुंचने से रोकता है। पहुंच के लिए `title` जोड़ें और प्रदर्शन के लिए `loading="lazy"` जोड़ें।