如何让沙箱化iframe使用SharedArrayBuffer且不解除沙箱限制

我希望让运行用户提交代码的沙箱化iframe能够使用SharedArrayBuffer及其创建的Web Worker。已知使用SharedArrayBuffer需要设置以下响应头：

Cross-Origin-Opener-Policy: same-origin
Cross-Origin-Embedder-Policy: require-corp

但设置这些头后，iframe无法正常加载，Chrome抛出警告：

同时拥有allow-scripts和allow-same-origin沙箱属性的iframe可逃脱沙箱限制。

Stack Overflow上的相关回答建议在iframe的sandbox属性中添加allow-scripts和allow-same-origin令牌，但这正是Chrome警告不要做的操作。我拥有顶层网页和iframe服务器的控制权，但iframe是运行用户提交代码的沙箱，必须假设会运行恶意代码，因此不能让其解除沙箱——顶层域名包含用户认证令牌等敏感信息。此外，沙箱iframe当前设置的Content-Security-Policy为：default-src data: blob: 'self' 'unsafe-inline' 'unsafe-eval' *.kastatic.org *.kasandbox.org cdn.jsdelivr.net;

核心思路 #

要同时满足启用SharedArrayBuffer的跨源隔离要求，以及保持沙箱限制防止恶意代码逃逸，关键是让iframe处于跨源隔离环境，但不赋予其同源权限。

具体步骤 #

1. 配置顶层与iframe的响应头 #

给顶层页面和iframe页面都设置以下响应头，确保两者进入跨源隔离状态：

Cross-Origin-Opener-Policy: same-origin
Cross-Origin-Embedder-Policy: require-corp

注意：iframe的域名必须与顶层页面不同源。如果两者同源，即使不设置allow-same-origin，跨源隔离的要求也会导致权限冲突，同时同源场景下沙箱的安全限制会被大幅弱化。

2. 设置iframe的sandbox属性 #

移除allow-same-origin，只保留必要的权限令牌：

<iframe sandbox="allow-scripts allow-worker allow-sharedarraybuffer" src="你的跨源iframe地址"></iframe>

各令牌作用：

• allow-scripts：允许iframe执行脚本（必须，否则无法使用SharedArrayBuffer和Web Worker）
• allow-worker：允许创建Web Worker
• allow-sharedarraybuffer：明确授权使用SharedArrayBuffer（部分现代浏览器需要显式声明）

3. 调整iframe的Content-Security-Policy #

补充Worker加载的权限规则，修改后的CSP如下：

default-src data: blob: 'self' 'unsafe-inline' 'unsafe-eval' *.kastatic.org *.kasandbox.org cdn.jsdelivr.net;
worker-src data: blob: 'self';

新增worker-src确保Web Worker可以正常创建和加载，避免CSP规则阻止Worker运行。

安全与可行性说明 #

• 跨源隔离（COOP/COEP）让SharedArrayBuffer和Web Worker能够正常工作，浏览器会将顶层页面和iframe视为完全独立的隔离上下文，满足SharedArrayBuffer的运行条件。
• 不设置allow-same-origin，iframe无法获得与顶层页面同源的权限，即使运行恶意代码，也无法访问顶层页面的Cookie、认证令牌等敏感数据，沙箱的安全限制完全有效。
• Chrome的警告针对的是allow-scripts + allow-same-origin的危险组合，我们避开了这个组合，因此不会触发沙箱逃逸风险。

内容的提问来源于stack exchange，提问作者Vexcess