如何让现代浏览器将基于srcdoc的iframe视为不同源加载的内容？

不行，现代浏览器不会将通过srcdoc属性或data URI创建的iframe标记为独立跨源，它们的源会默认继承自嵌入它们的父页面。

核心原因 #

• 源判定规则：根据浏览器同源策略，data URI加载的文档在绝大多数现代浏览器中，其源与嵌入它的父页面保持一致；srcdoc属性创建的iframe则直接复用父页面的源上下文，本质属于父页面的"内部延伸"，并非独立的外部源。
• 设计逻辑：这类iframe的核心用途是让父页面直接注入并渲染内容，浏览器默认认为这些内容受父页面控制，因此不会赋予它们独立的跨源隔离。如果强制标记为跨源，会打破父页面与这类iframe之间原本预期的轻量交互能力（比如简单DOM操作、无限制的postMessage通信）。

替代隔离方案 #

如果需要对不可信内容做更强的隔离，推荐两种实用方式：

1. 使用独立域名的外部页面：这是最彻底的跨源隔离方案，将不可信内容部署在独立域名下，通过iframe的src属性加载，浏览器会自动启用完整的跨源隔离机制。
2. 利用sandbox属性增强权限限制：即使不跨源，也可通过sandbox严格限制iframe内内容的权限，比如禁止访问父页面DOM、读写存储、弹窗等。示例代码：

   <!-- 仅允许脚本执行，禁用其他所有权限 -->
   <iframe srcdoc="<script>console.log('受限脚本运行');</script>" sandbox="allow-scripts"></iframe>
   
   <!-- 允许脚本和postMessage通信，其他权限禁用 -->
   <iframe srcdoc="<script>parent.postMessage('hello', '*');</script>" sandbox="allow-scripts allow-same-origin"></iframe>
   

   注意：sandbox默认禁用所有权限，需明确声明允许的行为，以此实现对不可信内容的精准隔离。

内容的提问来源于stack exchange，提问作者Anton Strogonoff