iFrame的allowpaymentrequest与allow="payment"对比及Google Pay适配疑问

为啥 Google Pay 还在用废弃属性？ #

Google Pay 的 iframe 支付权限逻辑早于标准 allow="payment..." 方案开发——当初 allowpaymentrequest 作为实验性属性推出时，Google Pay 就基于它完成了权限校验的适配。后来 W3C 推出了更规范的 allow 属性权限控制体系，但 Google Pay 的底层校验逻辑没及时跟进更新，导致它至今还只认旧的实验性属性，不认标准的 allow 配置。

标准属性不生效的具体原因 #

• Google Pay 的初始化代码里，是直接检查 iframe 元素上是否存在 allowpaymentrequest 属性，根本没去解析 allow 属性里的 payment 权限规则。
• 虽然主流浏览器把 allowpaymentrequest 标为废弃，但为了兼容旧有网站，大多还保留了对它的支持，这也让 Google Pay 团队没把迁移到标准方案列为优先事项。

临时合规解决办法 #

• 可以同时给 iframe 加上两个属性：allowpaymentrequest 和 allow="payment 'self' https://otherparentURL.com"。这样既满足代码校验对标准属性的要求，又能让 Google Pay 识别到支付权限。
• 如果代码校验工具揪着 allowpaymentrequest 的废弃警告不放，可以临时在工具配置里忽略这个属性的校验，等 Google Pay 完成标准适配后再移除。

内容的提问来源于stack exchange，提问作者Sgt Oddball