父页面与iframe的CSP沙箱规则优先级及下载权限问题

通用规则说明 #

当父页面与iframe存在不同的CSP沙箱限制时，两者的规则会取交集生效——只有同时被父页面CSP和iframe自身sandbox属性允许的权限，才会最终生效，相当于叠加了更严格的限制，不存在单一规则优先的情况。

针对示例的具体分析 #

1. 父页面的CSP响应头：CSP: sandbox allow-forms;，这是父页面给所有嵌入的iframe施加的沙箱限制，仅允许表单提交操作。
2. iframe的sandbox属性：sandbox="allow-downloads"，这是iframe自身声明的权限需求。

由于规则取交集，父页面的CSP并未允许下载权限，因此iframe的allow-downloads权限无法生效。最终iframe的有效权限仅为allow-forms，不能发起下载请求。

内容的提问来源于stack exchange，提问作者vijayprasanna13