.Net应用生成URL：如何在HTML页面打开时阻止读取Local Storage

1. 带sandbox属性的iframe限制 #

直接在iframe中配置sandbox属性，禁用存储访问权限，这是最直接的跨域限制方案。不要添加allow-same-origin或allow-storage-access-by-user-activation这类允许存储访问的权限项，按需保留其他必要权限（比如脚本、表单提交、跳转）。

示例代码：

<iframe src="你的目标URL" sandbox="allow-scripts allow-forms allow-top-navigation"></iframe>

没有allow-same-origin时，iframe内的页面会被浏览器视为独立隔离源，完全无法访问自身域名的Local Storage。

2. 目标页面主动屏蔽Local Storage（可控目标页面时） #

如果你的.NET生成的URL对应的页面是你能修改的，可以在页面最顶部注入代码，重写localStorage对象，让所有读写操作失效：

// 放在目标页面<head>最前面，优先执行
Object.defineProperty(window, 'localStorage', {
  get: () => ({
    getItem: () => null,
    setItem: () => {},
    removeItem: () => {},
    clear: () => {},
    key: () => null,
    length: 0
  })
});

这样页面内任何尝试读取Local Storage的操作都会拿到空值，相当于直接阻止了读取行为。

3. 用无痕窗口打开URL #

如果是通过新窗口打开目标URL，可以尝试调用浏览器的无痕模式（注意不同浏览器支持度有差异，且可能被用户浏览器设置拦截）：

window.open('你的目标URL', '_blank', 'private');

无痕模式下浏览器不会加载或持久化任何Local Storage数据，天然隔离存储访问。

你之前方法失效的原因 #

同源策略严格限制了跨域操作，父页面的JavaScript根本无法触及iframe中其他域名页面的Local Storage，所以清除操作从一开始就无法作用到目标域名的存储数据。

内容的提问来源于stack exchange，提问作者russr999