如何通过iframe的sandbox参数配置允许跨域访问

结论 #

HTML iframe的sandbox属性不存在可直接允许跨域框架互相访问的配置项，你期望的<ALLOW CROSS ORIGIN>类合法参数不存在。

原理说明 #

该跨域拦截属于浏览器同源策略的默认限制，sandbox的作用是为iframe追加额外的安全限制，无法放宽浏览器原生的跨源访问规则：

• 移除sandbox后功能正常，说明原有跨域交互逻辑本身已满足同源策略放行条件（如双方配置了相同的document.domain、已通过CORS头授权等）
• 保留sandbox时触发拦截，是因为sandbox默认规则限制了iframe的跨源交互权限，当前配置未覆盖对应权限点

可行修复方案 #

无需新增sandbox参数，通过以下方式即可解决问题：

• 若为跨域传递数据场景，将直接访问外部iframe DOM的逻辑替换为postMessage API调用实现跨源通信，现有sandbox配置已支持该API正常使用
• 若必须直接操作外部iframe DOM，确保内外iframe的document.domain均设置为同一个顶级域名，当前配置中的allow-same-origin已满足该操作的前置要求

内容的提问来源于stack exchange，提问作者dsi