我之前也踩过这个坑！一开始直接给iframe加了sandbox属性，结果自动跳转是拦住了，但手动点击的链接也跟着失效了，后来才发现sandbox其实支持细粒度的权限配置，刚好能满足你的需求。

你只需要给iframe设置精准的sandbox权限组合，而不是用默认的全限制模式，具体代码是这样的：

<iframe src="你的iframe内容地址" sandbox="allow-scripts allow-popups-by-user-activation allow-top-navigation-by-user-activation"></iframe>

我给你拆解下每个权限的作用：

• allow-scripts：允许iframe里的脚本正常运行，毕竟你可能还有其他必要的交互逻辑，总不能把所有脚本都禁了
• allow-popups-by-user-activation：只放行由用户手动操作（比如点击、按键）触发的弹出窗口，像那种用setTimeout自动调用的window.open就会被浏览器直接拦住
• allow-top-navigation-by-user-activation：和上面同理，只允许用户手动触发的顶层窗口导航，自动执行的window.top.location.href跳转也会被挡下来

如果你的iframe内容和主页面是同域的，还可以再加个allow-same-origin，避免因为跨域限制导致一些脚本异常；要是iframe里还有跳转到自身域名内的手动链接，补充个allow-navigation-by-user-activation就更稳妥了。

这样配置之后，你会发现iframe里的自动跳转、自动弹窗全被拦住了，但手动点击链接的操作完全不受影响，和正常使用一样顺畅。

内容来源于stack exchange