Làm thế nào để nhúng nội dung an toàn với iframe và sandbox?

Question

Accepted Answer

Một ` ``` ## Sandbox hoạt động như thế nào `sandbox` với **không có giá trị** áp dụng các hạn chế *tối đa*: không script, không form, không popup, đối xử với nội dung như một origin riêng biệt. Sau đó bạn **bật lại có chọn lọc** các khả năng bằng cách liệt kê các token: ```html ``` Các token phổ biến: - `allow-scripts` — cho phép nó chạy JavaScript. - `allow-forms` — cho phép nó submit form. - `allow-same-origin` — giữ origin của nó (nếu không có cái này nó là một null origin, chặn storage/cookie). - `allow-popups`, `allow-modals`, `allow-top-navigation`. **Lưu ý bảo mật:** kết hợp `allow-scripts` **và** `allow-same-origin` cho phép frame tự gỡ bỏ sandbox của chính nó nếu nó cùng origin — tránh kết hợp đó cho nội dung không đáng tin. ## Các attribute an toàn khác ```html ``` ## Tại sao điều này quan trọng Iframe nhúng nội dung của bên thứ ba hoặc do người dùng tạo mà bạn không kiểm soát và không nên hoàn toàn tin tưởng. `sandbox` (từ chối mặc định, chỉ cho phép những gì cần thiết) cộng với `referrerpolicy`/`allow` cho phép bạn kiềm chế nội dung đó — ngăn nó chạy script không mong muốn, điều hướng trang của bạn, hoặc truy cập các tính năng thiết bị. Thêm `title` cho accessibility và `loading="lazy"` cho hiệu năng.