Come incorporare contenuti in modo sicuro con iframe e sandbox?

Question

Accepted Answer

Un ` ``` ## Come funziona sandbox `sandbox` senza **alcun valore** applica le *massime* restrizioni: nessuno script, nessun modulo, nessun popup, tratta il contenuto come un'origine univoca. Poi **abiliti selettivamente** le capacità elencando i token: ```html ``` Token comuni: - `allow-scripts` — consentigli di eseguire JavaScript. - `allow-forms` — consentigli di inviare moduli. - `allow-same-origin` — mantiene la sua origine (senza questo è un'origine nulla, bloccando storage/cookie). - `allow-popups`, `allow-modals`, `allow-top-navigation`. **Nota sulla sicurezza:** combinare `allow-scripts` **e** `allow-same-origin` consente al frame di rimuovere il proprio sandbox se è della stessa origine — evita questa combinazione per contenuti non attendibili. ## Altri attributi di sicurezza ```html ``` ## Perché è importante Gli iframe incorporano contenuti di terze parti o generati da utenti che non controlli e non dovrebbe fidarti completamente. `sandbox` (nega per impostazione predefinita, consenti solo ciò che serve) più `referrerpolicy`/`allow` ti consente di contenere quel contenuto — prevenendo l'esecuzione di script indesiderati, la navigazione della tua pagina, o l'accesso alle funzionalità del dispositivo. Aggiungi `title` per l'accessibilità e `loading="lazy"` per le prestazioni.