如何在iframe中执行inline JavaScript？为何script tag未生效？

可以在iframe中执行inline JavaScript，但你遇到的情况几乎肯定是教学平台的安全机制限制导致的，常见原因有这几个：

• 内容安全策略（CSP）拦截：平台可能设置了严格的CSP规则，比如禁止inline脚本执行（比如script-src指令没包含'unsafe-inline'）。你可以打开浏览器控制台（F12），如果看到类似「Refused to execute inline script because it violates the Content Security Policy」的报错，就说明是CSP的问题。这种规则是平台层面配置的，你自己没法修改。

• iframe的sandbox属性限制：平台嵌入你的内容时，可能给iframe加了sandbox属性。默认情况下，sandbox会禁用脚本执行，必须显式添加allow-scripts值（比如<iframe sandbox="allow-scripts" ...>）才能让脚本运行。如果iframe没加这个属性，你的inline脚本就会被阻止。

• 脚本标签被过滤/转义：平台后端可能对用户输入的HTML做了处理，直接移除了<script>标签，或者把标签里的特殊字符转义（比如把<变成<），这时候脚本标签会变成纯文本，自然不会执行。

验证方法 #

1. 打开浏览器开发者工具，查看iframe的DOM属性，确认是否存在sandbox属性，以及是否包含allow-scripts；
2. 查看主页面的响应头（开发者工具→网络→选中主页面→响应头），检查有没有Content-Security-Policy字段，看里面的script-src规则；
3. 查看iframe内部的实际HTML源码，确认你的<script>标签是否被篡改或移除。

内容的提问来源于stack exchange，提问作者beris