正确使用iframe需设置src、尺寸及安全属性。通过sandbox限制权限，配合referrerpolicy和allow控制行为，避免X-Frame-Options被拒问题，确保嵌入内容安全可靠。
在HTML中插入iframe是嵌入外部网页的常用方式，可以让另一个网页在当前页面中以“框内框”的形式显示。正确使用iframe不仅能提升内容丰富度，还需注意安全设置，防止潜在风险。
iframe基本语法与常用属性
iframe标签用于在当前HTML文档中嵌入另一个网页。最基本的写法如下：
常用属性包括：
- src：指定要嵌入的网页地址
- width / height：设置iframe的尺寸，可用像素或百分比
- title：为屏幕阅读器提供可访问性支持
- frameborder：控制边框显示（现代开发推荐用CSS代替）
- allowfullscreen：允许全屏播放（如视频嵌入时使用）
提升安全性的sandbox属性
直接嵌入第三方网页存在安全风险，例如脚本注入、跳转钓鱼等。sandbox属性可以限制iframe中内容的权限，增强安全性。
立即学习“前端免费学习笔记（深入）”；
常见sandbox值说明：
- 不加任何值：最严格，禁止脚本、表单提交、弹窗等
- allow-scripts：允许执行JavaScript
- allow-same-origin：允许内容被视为同源
- allow-forms：允许提交表单
- allow-top-navigation：允许跳转整个页面（谨慎使用）
建议最小化权限，只开放必要的功能。
使用referrerpolicy和allow控制权限
除了sandbox，还可以通过以下属性进一步控制行为：
-
referrerpolicy：控制referrer信息发送，如
no-referrer-when-downgrade或strict-origin-when-cross-origin - allow：针对特定API的权限，常用于摄像头、麦克风、地理位置等。例如：
避免X-Frame-Options被拒绝的问题
某些网站设置了X-Frame-Options: DENY或SAMEORIGIN，会阻止其页面被嵌入iframe。此时即使代码正确也无法显示内容。
解决方法有限，通常只能选择：
- 联系目标网站申请授权
- 使用服务器端代理抓取内容（需注意法律合规）
- 寻找官方提供的嵌入代码（如YouTube、地图服务等）
不能绕过对方的安全策略，这是浏览器强制执行的防护机制。
基本上就这些。合理使用iframe并配置安全属性，既能实现内容嵌入，又能保障用户安全。不复杂但容易忽略细节。
